Fachartikel

Sicherheitsbedrohungen durch Fehlkonfigurationen in der Cloud

Mehr und mehr Sicherheitsbedrohungen lauern vor allem in Cloudanwendungen, die einer steigenden Anzahl von Unternehmen als Speicher- und Rechenkapazitäten dienen. Trotz der flexiblen IT-Strukturen und der zahlreichen Vorteilen im produktiven Betrieb benötigen Firmen spezifische Sicherheitsvorkehrungen bei der Datensicherung. Drohende Datenverluste oder das Risiko des illegalen Crypto-Mining sind nur zwei der Gefahren, die Nutzer kennen sollten. Warum IT-Verantwortliche Schwachstellen vorher lokalisieren und Cloudangebote genau prüfen sollten, lesen Sie in diesem Fachartikel.
Mit falscher Sicherheitskonfiguration versehen, sorgen Clouddienste beim IT-Personal für Kopfschmerzen.
Die Cloud ist als Speichermedium aus modernen Unternehmen nicht mehr wegzudenken. Anders als hardwarebasierte Rechenzentren bieten Cloudanwendungen variable Speicher- und Rechenkapazitäten, die abhängig von der Geschwindigkeit des Unternehmenswachstums skalierbar sind. In Bezug auf Kundenbedürfnisse steht so einfach die passende Cloudlösung zur Verfügung. Cloudsysteme benötigen trotz vieler Anwendungsvorteile auch spezifische Sicherheitsvorkehrungen. Genau darauf sind viele Unternehmen trotz eigener IT-Abteilung oft nicht vorbereitet – mit Folgen für die eigene Datensicherheit.

Cloudimplementierungen sind je nach Unternehmensgröße unterschiedlich umfangreich und jede Nutzungsart ist mit eigenen Sicherheitsvorkehrungen verbunden. Das schiere Vorhandensein von unterschiedlichen Sicherheitsvorkehrungen macht die Einhaltung von Security- und Compliance-Fragen komplex und schwer zu überblicken. Jeder Service ist anders aufgebaut, was zu technischen Unterschieden innerhalb der Angebote führt. Daher ist bei der Wahl eines geeigneten Anbieters eine komplexe Auseinandersetzung mit dem Angebot unerlässlich.

Gefahren der Cybersicherheit am Beispiel Amazon S3
Der Amazon Simple Storage Service (kurz Amazon S3) ist der Branchenführer bei Objektspeicher-Dienstleistungen. Seit dem Start im Jahr 2006 können Kunden aller Größen und Branchen mit diesem Service eine beliebige Menge an Daten speichern. Seither ist die Verwaltungsfunktion einer der Grundpfeiler von AWS.

Doch das Angebot hat so einige Tücken. Immer wieder treten durch fehlerhafte Einrichtung und falsche Konfigurationen auf Nutzerseite gravierende Sicherheitsprobleme auf. In den Jahren seit dem offiziellen Markteintritt sind zahllose Fälle dokumentiert worden, in denen Hacker aufgrund dieser unbeabsichtigten Fehlkonfigurationen gezielt Amazon S3 für Angriffe im Blick hatten. Eine Studie des SANS-Instituts zu Cloudsicherheit aus dem Jahr 2019 hat dies zusätzlich bestätigt. Doch wo genau liegen die Gefahren?

  1. Datenverlust: Offen beschreibbare Buckets von Unternehmen werden aufgrund der fehlenden Zugangsbeschränkungen immer häufiger Opfer von Hackerangriffen. Ziel der Angriffe mithilfe von Schadsoftware oder Änderungen im Quellcode der Website sind oftmals sensible Kundendaten. Die Attacken werden möglich, wenn Angreifer den Namen des Buckets kennen und dieser nicht schreibgeschützt ist.

  2. Crypto-Mining: Gerade Webseiten großer Unternehmen geraten immer häufiger ins Visier von Hackern und werden dann für das illegale Mining von Kryptowährungen missbraucht. 2018 kam der Fall einer großen amerikanischen Tageszeitung ans Licht. Durch einen Konfigurationsfehler waren Hacker in der Lage ein kleines "Add-on" zu platzieren, das mit dem Aufruf der Seite auf den Rechnern des Online-Lesers Crypto-Mining betrieb. Möglich wurde dies, da die Verantwortlichen sämtliche Daten und benötigte Templates für die Website in nur einem Access Point (dem sogenannten Bucket) hinterlegt hatten. Dieser war fehlerhaft konfiguriert, wodurch sich die Hacker Zutritt verschaffen und die Zugriffsbeschränkungen anpassen konnten. Das Mining-Programm ließ sich so ganz leicht in den bestehenden JavaScript-Code implementieren und bei jedem Seitenaufruf aktivieren.
Illegales Mining als Fass ohne Boden
Interessanterweise ist sogar unter Administratoren die Auffassung anzutreffen, dass das Mining auf Servern ja keinen Schaden anrichte, da der Betreiber den Service ja zahlt, egal ob die Auslastung 10 oder 100 Prozent beträgt. Diese Ansicht ist allerdings völlig falsch. Die Gefahr kommt auf zweierlei Wegen daher. Die schadhaften Mining-Programme verlangsamen laufende Backend-Prozesse, die Auswirkungen auf zeitkritische Entscheidungen oder Transaktionsprozesse haben. Zusätzlich können so auch schnell die verwendeten Kapazitäten um ein Vielfaches erhöht werden. Ein Alptraum für viele Unternehmen, wie das Beispiel Amazon EC2 veranschaulicht:

Die monatlichen Kosten für die kleinste Amazon EC2-Rechenkapazität (t2.micro) betragen 9,50 US-Dollar pro Monat. Überschreitet die CPU-Auslastung jedoch einen kritischen Schwellenwert, werden neue Kapazitäten mit den gleichen Einstellungen hinzugefügt. Dabei fallen mit jeder neuen Einheit neue Kosten an. Aus den anfänglichen Minimumkosten von 9,50 US-Dollar werden so schnell hunderte, vielleicht sogar tausende US-Dollar.

18.11.2020/ln/Richard Werner, Business Consultant bei Trend Micro

Nachrichten

Datenpannen: Schweigen ist Silber, Reden ist Gold [26.11.2020]

Organisationen, die schnell und transparent mit Datenpannen umgehen, erleiden wirtschaftlich wie auch hinsichtlich ihrer Reputation weniger Schaden. Laut einem Kaspersky-Bericht nehmen kleine und mittelgroße Unternehmen, die ihre Stakeholder und die Öffentlichkeit freiwillig über eine Datenschutzverletzung informieren, im Schnitt 40 Prozent weniger finanziellen Schaden als Firmen, bei denen entsprechende Informationen darüber ungeplant an die Medien durchdrangen. [mehr]

Abhörsichere Verbindung [26.11.2020]

Mit R&S SITLine ETH NG stellt Rohde & Schwarz Cybersecurity seine jüngste Generation von Hochgeschwindigkeits-Netzwerkverschlüsselern mit VS-NfD-Zulassung vor. Diese bietet skalierbare Übertragungsraten von 10 MBit/s bis 40 GBit/s. Ein zentrales Sicherheitsmanagementsystem verspricht einen einfachen und effizienten Betrieb. [mehr]

Daten unter Verschluss [25.11.2020]

Tipps & Tools

Jetzt schon vorbestellen: Sonderheft vSphere 7 [16.11.2020]

Auch 2021 erwarten Sie neben den zwölf Monatsheften des IT-Administrator wieder zwei unserer beliebten Sonderhefte. Das erste liefert unter dem Titel "VMware vSphere 7 – Server, Netze und Storage virtualisieren" auf 180 Seiten Know-how zur Planung, Verwaltung und Absicherung der neuen vSphere-Version. Nach einer Übersicht der Lizenzformen und Gedanken zum Sizing der vSphere-Landschaft widmet sich das Autorenteam unter anderem ausführlich Fragen der Migration. Das Sonderheft erscheint im April 2021. Abonnenten des IT-Administrator profitieren wie immer von einem Sonderpreis. [mehr]

Im Test: IONOS Private Cloud [29.10.2020]

Für die flexible Bereitstellung von Rechen- und Speicherkapazität bedienen sich viele Unternehmen Clouddiensten. Amazon Web Services und Microsoft Azure beispielsweise bieten skalierbare Umgebungen, um IT nach Bedarf zu nutzen. Für die Virtualisierung sensibler, interner Server hat sich hingegen die Private Cloud etabliert. Mit IONOS Private Cloud lassen sich auch derartige Daten und Dienste sicher auslagern. Wir haben das Angebot getestet. [mehr]

Buchbesprechung

Windows 10 Pannenhilfe

von Wolfram Gieseke

Anzeigen