Practises – sicherheitsbezogene Azure-Services
2.3 Best Practices für die relevantesten Azure-Services
3 Tool-Set zur automatischen Identifizierung und Behebung
Abbildungsverzeichnis:
Abbildung 1: Verantwortungsschnitt IT-Security im Shared Responsibility Model
Abbildung 2: Leitfäden zur Verbesserung der IT-Sicherheit
Abbildung 3: Bausteine eines IT-Security-Betriebskonzeptes
Abbildung 4: Funktionen für einen sicheren Zugriff
Abbildung 5: IBM Cloud Pak For Security Architecture
Abbildung 6: Die auf vier Säulen basierende Sicherheitstrategie von Microsoft
Abbildung 7: Zero-Trust-Komponenten im Cloud-Umfeld
Abbildung 8: Zero-Trust-Architektur
Abbildung 9: Das Shared-Responsibility-Modell nach Microsoft
Abbildung 10: KRITIS-Sektoren und Anlagenkategorien
Abbildung 11: Tool-gestützte Umsetzung Klinik-Infrastruktur, fuentis Suite
Abbildung 12: Tool-gestützte Umsetzung B3S-Katalog Gesundheitsversorgung, fuentis Suite
Abbildung 13: AWS Shared Responsibility Model
Abbildung 14: Shared Responsibility Model in the cloud
Abbildung 15: Architektur der Remotedesktop-Dienste
Tabellen:
Tabelle 1: 4-Stufen-Vorgehensmodell Cloud-Migration mit Sicherheitsmerkmalen
Tabelle 2: Bemessungskriterien und Schwellenwerte der Anlagenkategorien
Management Abstract
Tino Hirschmann und Marcel Reviol, Deutsche Telekom Security, nehmen in ihrem einleitenden Beitrag Herausforderung Cloud Security: Wandel in Technologie und Organisation den Leser auf eine kurze Zeitreise mit, um insbesondere jüngeren Lesern den Wandel der IT zu verdeutlichen. Sie geben einführend einen Überblick über Cloud-Services und -Modelle, erläutern das Shared-Responsibility-Modell und beschreiben vier grundsätzliche Vorgehensmodelle zu Anwendungsmigration in die Cloud. Sie stellen auf der Basis von Security by Design sieben Grundregeln auf, die dazu beitragen, die Angriffsfläche von Attacken zu minimieren. Zum Schluss diskutieren sie sicherheitsrelevante Maßnahmen als Reaktion auf eine veränderte Bedrohungslage durch die Cloud-Nutzung und lassen ihre Erfahrungen einfließen.
Die Frage, ob Unternehmen Cloud-Services trauen können, beantworten Christian Lechner und Andreas Schindler, All for One Group, mit einem klaren „Ja“. Sie stellen in ihrem Beitrag Der integrierte Ansatz bei der Migration in die Cloud: Security by Default ihre Vorgehensweise für die Cloud-Migration vor, die auf einer vollständig integrierten Sicherheitsarchitektur beruht. Zur Veranschaulichung ihrer Vorgehensweise berichten sie über ein Cloud-Projekt bei einem Maschinenbauer mit dem Ziel, digitale Produkte schnell entwickeln und bereitstellen zu können. Zum Schluss fassen sie ihre Erfahrungen aus Cloud-Projekten zusammen.
Ralf Stadler, Tech Data, erörtert in seinem Beitrag Sicher in die Cloud Maßnahmen und Lösungen zur Sicherung von Anwendungen in Public, Multi und Hybrid Clouds. Zunächst begründet er, warum die im eigenen Rechenzentrum genutzten lokalen Security Tools und Sicherheitskonzepte nicht auf das Cloud-Umfeld übertragen werden können, und welche Maßnahmen ergriffen werden sollten. Er beschreibt verschiedene Lösungen beginnend mit der Authentifizierungslösung RSA SecurID und YubiKey sowie mit der IBM-Lösung IBM Cloud Paks for Security, welche sicherheitsrelevante Informationen über alle Datenquellen, Systeme in einem Hybrid-Multi-Cloud-Umfeld automatisiert zusammenführen und auswerten. Er stellt die Microsoft 365 Business Premium-Lösung und weitere Tools vor, die insbesondere KMUs im Remote-Arbeitsumfeld Schutz bieten.
Dominik Birgelen, oneclick, stellt in seinem Beitrag Anwendungsbereitstellung über die oneclick™ Cloud-Plattform: Ein schlagkräftiges Mittel gegen Cyberkriminalität die Cloud-Plattform seines Unternehmens vor, welche als Vermittlungs- bzw. Trennschicht zwischen Benutzer und Unternehmensressource fungiert. Streaming-Server dienen als eine Art Sicherheitsschleuse mit Verschlüsselungen und weiteren Sicherheitsmechanismen zwischen Benutzer und Unternehmensressourcen, unabhängig davon, von wem diese bezogen werden. Inkludiert ist eine Cyberversicherung mit vorgeprüften Sicherheitsmaßnahmen ohne vorherige Fallprüfungen beim Anwenderunternehmen.
„Vertrauen ist gut, Kontrolle ist besser“: Das ist das Motto von Zero Trust. Es sieht vor, dass jede einzelne Anfrage und Zugriffe auf Ressourcen als nicht vertrauenswürdig gelten, bis das Gegenteil bewiesen ist. Mit Auflösung des Perimetersschutzes – als klassischer Ansatz für die Netzwerksicherheit – gilt Zero Trust u.a. im Cloud-Umfeld als ein probates Modell, welches auf großes Interesse stößt. Michael Doujak, Ergon Informatik, und Aarno Aukio, VSHN, erläutern in ihrem Beitrag Zero Trust ist eine Reise ein Migrations-Konzept für die Umsetzung einer Zero-Trust-Architektur in Unternehmen. Sie erörtern die technischen und betrieblichen Vorteile einer Zero-Trust-Architektur, zeigen aber auch die Grenzen von Zero Trust auf. Zur stufenweisen Umsetzung dieser Architektur beschreiben sie ein Modell, welches aus einem API-Gateway aus dem Perimeterschutz – als Aufgabenverteiler zwischen Perimeter und neu eingeführten Microgateways –, Microgateways für den Zero-Trust-Ansatz und einer IAM-Lösung besteht.
Elmar Eperiesi-Beck, eperi, hat den Schwerpunkt seines Beitrages Datenschutzkonforme Cloud Nutzung – Best Practices für alle Unternehmensgrößen auf eine datenzentrische
