Die wichtigsten Möglichkeiten zur Gewährleistung der Datensicherheit in den Clouds
Laut dem Bericht des amerikanischen Forschungsunternehmens Gartner werden die Fälle von Informationslecks aus öffentlichen Clouds aufgrund falscher Konfigurationen und nicht optimierter Geschäftsprozesse bis 2020 auf 80 % ansteigen. Daher müssen Unternehmen, die Cloud-Dienste nutzen, jetzt über eine Verbesserung der Sicherheit nachdenken.
In diesem Artikel werfen wir einen genaueren Blick auf die fünf beliebtesten Methoden zum Schutz von Daten in der Cloud: Verschlüsselung, Infrastrukturüberwachung, Datenzugriffsbeschränkungen, Backups und Disaster-Recovery-Pläne.
Aber vorher noch eine interessante Statistik:
- 64 % der Unternehmen halten Cloud-Systeme für sicherer als On-Premises-Systeme;
- 75 % ergreifen zusätzliche Maßnahmen, um die Sicherheit zu gewährleisten;
- 61 % verschlüsseln ihre Daten;
- 52 % haben eine Richtlinie zur Zugangskontrolle zu Informationssystemen eingeführt;
- 48 % führen regelmäßige Überprüfungen der Informationssysteme auf Einhaltung der Sicherheitsanforderungen durch.
Verschlüsselung
Um die Sicherheit zu gewährleisten, müssen Sie eine bestimmte Verschlüsselungsrichtlinie implementieren. Eine Verschlüsselung aller Daten ist jedoch nicht sinnvoll – in diesem Fall überwiegen die mit den Verschlüsselungsverfahren verbundenen Nachteile alle möglichen Vorteile. Daher müssen Sie herausfinden, welche Daten sich in der Cloud befinden und wohin der Datenverkehr geht, und dann entscheiden, welche davon verschlüsselt werden müssen. Für den effektiven Einsatz der Verschlüsselung ist es notwendig, die Kosten für die Einführung solcher Maßnahmen und mögliche Verluste durch Informationslecks zu vergleichen. Außerdem sollten Sie analysieren, wie sich die Verschlüsselung auf die Leistung von Informationssystemen auswirkt.
Datenschutz kann auf verschiedenen Ebenen erfolgen. Beispielsweise können alle Daten, die Benutzer an die Cloud senden, mithilfe von Blockverschlüsselungsalgorithmen verschlüsselt werden. Die nächste Stufe ist die Datenverschlüsselung in einem Cloud-System, die drei Möglichkeiten hat:
Die erste besteht darin, Daten auf dem Computer selbstständig zu verschlüsseln und sie dann an die Cloud zu senden. So können Sie von beliebigen Projekten Sicherungskopien erstellen. Parallel dazu lohnt es sich, verschlüsselte Dateien oder Krypto-Container auf eine externe Festplatte herunterzuladen, da es Beispiele gibt, bei denen Daten aus unzuverlässigen Cloud-Speichern ohne Zustimmung des Eigentümers dauerhaft gelöscht werden.
Wenn viele Dateien vorhanden sind, können Sie Dienste nutzen, die Daten verschlüsseln, bevor sie an die Cloud gesendet werden. Einige von ihnen verschlüsseln sogar Dateiheader. Wenn Angreifer also Zugriff auf die Cloud erhalten, steht ihnen nicht nur der Inhalt der Datei, sondern auch ihr Name nicht zur Verfügung.
Ein solcher Dienst ist Boxcryptor. Der Hauptvorteil von Boxcryptor ist die Unterstützung beliebter Cloud-Speicherdienste wie Dropbox, Google Drive, OneDrive, Box, Amazon, iCloud Drive. Der Dienst unterstützt auch alle gängigen Plattformen, einschließlich iOS und Android mobile Betriebssysteme. Für das Produkt gibt es eine kostenlose Version, die jedoch einige Einschränkungen aufweist. Sie können beispielsweise mit nur einer Cloud arbeiten. Die kostenpflichtige Version ermöglicht die Verschlüsselung von Dateinamen und funktioniert mit einer unbegrenzten Anzahl von Cloud-Anbietern.
Infrastrukturüberwachung
Angreifer können fast immer einen Weg finden, ein System zu hacken. Um Bedrohungen vorzubeugen, muss daher sichergestellt werden, dass Angriffe nicht auf andere anfällige Systeme übergreifen. Dies ist möglich, wenn Sie unbefugte Verbindungen zwischen Workflows blockieren und gefährliche Verbindungsanfragen verhindern.
Auf dem Markt gibt es viele Produkte zur Überwachung der Infrastruktur, die es ermöglichen, sich ein vollständiges Bild der Netzwerkaktivität zu machen: Sehen Sie sich jeden an, der sich mit dem Netzwerk verbindet, und legen Sie Regeln für Benutzer fest (was bestimmte Benutzer tun können und welche Zugriffsrechte sie haben sollten).
Überwachungssysteme ermöglichen auch das Abrufen von Statistiken für jeden Benutzer sowie zugehörige Ereignisse und Bedrohungen. Dienste wie Zscaler ermöglichen das Senden von Protokollen an das SIEM-System eines Kunden, um Berichte zu empfangen, die Daten aus verschiedenen Quellen enthalten. Zscaler stellt Benutzern eine Sammlung vordefinierter und benutzerdefinierter Protokolle zur Verfügung. Es umfasst die folgenden Arten von Berichten:
- Executive Reports (ein kurzer Sicherheitsbericht für Manager, einschließlich der Anzahl erkannter Bedrohungen oder Regelverstöße für einen bestimmten Zeitraum);
- Interaktive Berichte;
- Geplante Berichte (regelmäßige Verteilung von Standard- und benutzerdefinierten Berichten);
- Company Risk Score Report (Berechnung einer Risikobewertung für ein Unternehmen, das im Business- und Transformationspaket enthalten ist und für das Professional-Paket gegen Gebühr erhältlich ist);
- Branchenvergleich (Vergleichen Sie die Leistung der Verwendung von Zscaler in Ihrer Organisation und in anderen Organisationen in Ihrer Branche);
- System-Audit-Bericht (Systembericht über den Status von GRE-Tunneln, PAC-Dateien usw. Bei Problemen gibt der Bericht Empfehlungen zur Behebung);
- Prüfbericht zur Sicherheitsrichtlinie.
Beschränken Sie den Zugriff auf Daten
Viele sind bereits daran gewöhnt, dass sich jeder Benutzer mit seinem Benutzernamen und Passwort in das Informationssystem einloggt. Normalerweise werden Passwortdaten als Hash in geschlossener Form in einer Datenbank gespeichert. Um den Diebstahl einer Sitzung autorisierter Benutzer zu verhindern, wird der Login- und Passwort-Hash beim Laden jeder Seite des Systems überprüft. Im Falle eines Authentifizierungsfehlers wird der Benutzer automatisch abgemeldet. Neben dem herkömmlichen Schutzsystem mit Login und Passwort bieten Cloud-Dienste jedoch noch mehrere weitere Methoden zum Schutz von Informationen.
In letzter Zeit hat sich ein rollenbasiertes Sicherheitsmodell (auch rollenbasierte Zugriffskontrolle genannt) durchgesetzt. Dieses Modell basiert auf der Benutzeridentifizierung mittels Login. Wenn ein Benutzer identifiziert wird, werden ihm automatisch Rollen und Entscheidungen zugewiesen.
Ein rollenbasiertes Zugriffskontrollmodell entspricht den Sicherheitsrichtlinien verschiedener Organisationen. Es ermöglicht Organisationsfunktionen wie eine Rollenhierarchie und eine betriebliche Aufgabentrennung.
Die rollenbasierte Zugriffskontrolle (RBAC) betrachtet alle Informationen als zu dieser Organisation gehörend. In einem solchen System können Benutzer Zugriffsrechte auf Informationen nicht auf andere Benutzer übertragen. Dieses System basiert auf einer Entscheidung über den Zugriff auf der Grundlage von Informationen über eine Funktion, die ein Benutzer innerhalb einer bestimmten Organisation aufgrund seiner Rolle ausführt.
Die Definition der Mitgliedschaft und die Verteilung der Befugnisse auf eine Rolle in einem rollenbasierten Zugriffskontrollsystem hängt nicht vom Systemadministrator ab, sondern von den im System angewendeten Sicherheitsrichtlinien. Unter einer Rolle kann der Aktionssatz verstanden werden, den ein Benutzer oder eine Benutzergruppe verwenden kann. Das Rollenkonzept umfasst eine Beschreibung der Verantwortlichkeiten, Zuständigkeiten und Qualifikationen. Die Zuweisung von Funktionen zu Rollen erfolgt durch den Systemadministrator. Der Zugriff auf die Rolle wird ebenfalls vom Systemadministrator festgelegt.
Die Rollenrichtlinie ermöglicht die Verteilung der Befugnisse zwischen den Rollen im Rahmen ihrer offiziellen Aufgaben, und die Rolle des Administrators wird durch besondere Befugnisse ergänzt, die es dem Administrator ermöglichen, den Betrieb des Systems zu steuern und die Konfiguration zu verwalten. Die Rechte normaler Benutzer sind auf das zum Ausführen bestimmter Programme erforderliche Minimum beschränktrams.
Die Anzahl der Rollen im System entspricht möglicherweise nicht der Anzahl der tatsächlichen Benutzer. Ein Benutzer kann, wenn er unterschiedliche Verantwortlichkeiten hat, die unterschiedliche Berechtigungen erfordern, mehrere Rollen erfüllen, und mehrere Benutzer können eine Rolle verwenden, wenn sie die gleiche Arbeit ausführen.
Cloud-Systeme wie Amazon EC2 nutzen RBAC in großem Umfang, um den Endbenutzerzugriff auf Ressourcen zu optimieren. Auch Microsoft Azure nutzt RBAC für Zutrittskontrolle zu Cloud-Ressourcen. Daher geben wir als Beispiel einige Aktionen an, die mit RBAC durchgeführt werden können:
- einem Benutzer die Berechtigung erteilen, virtuelle Maschinen in einem Abonnement zu verwalten, und einem anderen Benutzer die Berechtigung, virtuelle Netzwerke zu verwalten;
- Erteilen der Berechtigung der DBA-Gruppe zum Verwalten von SQL-Datenbanken in einem Abonnement;
- Erteilung der Berechtigung des Benutzers zur Verwaltung aller Ressourcen in der Ressourcengruppe, einschließlich virtueller Maschinen, Websites und Subnetze.
Datensicherung
Anwendungen, die in der Cloud laufen, sind nur bedingt geschützt. In regelmäßigen Abständen tauchen Meldungen auf, dass der eine oder andere unzuverlässige Cloud-Anbieter virtuelle Maschinen oder Dateien im Speicher gelöscht hat. Um die von Cloud-Anwendungen generierten Daten vollständig zu schützen, müssen Sie eine Sicherung im Rechenzentrum (DPC) des Kunden oder in einer anderen Cloud durchführen.
In kleineren Szenarien können Benutzer Dateien beispielsweise von Office 365 auf ein lokales Volume oder ein externes Laufwerk kopieren. Dies ist jedoch ein manueller Prozess, der unzuverlässig und schwer zu skalieren sein kann.
Bei großen Dateien und größeren Anwendungen sind solche Szenarien sehr selten. Unternehmen, die die IaaS-basierte Cloud nutzen, können die Anwendungssystemschnittstellen nutzen (APIs), die von Cloud-Anbietern zur Entwicklung ihrer Backup-Software oder von Drittanbieter-Backup-Software für lokale Server, Network-Attached Storage (NAS) oder ein eigenes Rechenzentrum bereitgestellt werden.
Cloud-to-Cloud-Backups versprechen dem Unternehmen mehrere Vorteile gegenüber lokalen Backups, darunter geringere Infrastrukturkosten, schnellere Backups und Wiederherstellungen sowie größere Flexibilität.
Im Rahmen des Cloud-Backup-Dienstes können Nutzer wichtige Daten (Dateien, Datenbanken, Betriebssystemkonfigurationen) in der Cloud sichern. Dazu installieren sie spezielle Agenten, um die Daten der benötigten Anwendungen zu sichern. Durch die Anwesenheit von Agenten kann die Integrität der Daten im Backup gewährleistet werden, und die Übertragung der reservierten Daten selbst erfolgt über das Internet per VPN Kanäle
Notfallwiederherstellungsplan
Der Disaster Recovery Plan schützt Ihr Unternehmen vor Störungen der IT-Infrastruktur und potenziellen Datenverlusten.
Ein herkömmlicher Sanierungsplan beinhaltet die Erstellung eines Ersatzstandorts, vorzugsweise in einem anderen Gebiet oder sogar einer anderen Stadt. Für seine Organisation ist es erforderlich, die gleiche Ausrüstung wie am Hauptstandort zu erwerben, die Infrastruktur des Standorts bereitzustellen und Backup-Software zu erwerben. In diesem Fall können die Kosten für die Erstellung und Wartung einer Backup-Site genauso hoch sein wie die Kosten für die Hauptsite. Das bedeutet, dass bis zu 50 % des gesamten IT-Budgets für die Sicherstellung der Geschäftskontinuität aufgewendet werden kann. Während der Cloud-Backup-Dienst die Möglichkeit bietet, das Verbrauchsvolumen schnell zu erhöhen oder zu verringern, ist keine anfängliche c erforderlichapiGesamtausgaben.
