Über CSPM hinaus: Die Sicherheitslücke bei Cloud-Daten schließen

Das Cloud Security Posture Management (CSPM) hat sich zu einer grundlegenden Kontrollmaßnahme zur Erkennung von Fehlkonfigurationen in der Cloud, Abweichungen von Richtlinien und unsicheren Einstellungen in der Steuerungsebene entwickelt, doch es bietet keine Antworten auf alle datenzentrierten Fragen, die Sicherheitsteams klären müssen.

CSPM wurde entwickelt, um die Bewertung des Sicherheitsstatus zu automatisieren und Abweichungen in Cloud-Umgebungen zu erkennen. Es kann exponierte Dienste, IAM-Rollen mit übermäßigen Berechtigungen, unverschlüsselte Speicherkapazitäten, öffentliche Snapshots sowie Richtlinienverstöße in AWS, Azure, Google Cloud und anderen IaaS-Plattformen identifizieren. Diese Fähigkeit ist von entscheidender Bedeutung. Die DBIR-Berichte von Verizon zeigen weiterhin, dass Fehler und Fehlkonfigurationen nach wie vor wichtige Ursachen für Sicherheitsvorfälle sind; die Infografik zum DBIR 2024 berichtete, dass Fehler 28 % der Sicherheitsvorfälle ausmachten, wobei Fehlkonfigurationen ein häufiges Fehlermuster darstellten.

Herkömmliche CSPM-Tools konzentrieren sich jedoch auf die Konfiguration der Infrastruktur und die Sicherheit der Steuerungsebene, nicht auf den Inhalt oder die Sensibilität der Daten. Sie untersuchen nicht eingehend, welche Daten die Ressourcen enthalten, wie sensibel diese Daten sind oder wer tatsächlich über verschiedene Zugriffspfade darauf zugreifen kann. Ein Speicher-Bucket kann aus konzeptioneller Sicht konform sein, während er dennoch Kundendaten durch zu weitreichende Zugriffsberechtigungen oder externe Links offenlegt.

Diese Lücke ist von Bedeutung, da sich die Risiken im Zusammenhang mit Cloud-Daten nicht auf offensichtliche Fehlkonfigurationen beschränken. Viele Angriffswege in der Cloud beruhen auf kompromittierten Anmeldedaten und dem Missbrauch gültiger Konten, nicht nur auf technischen Konfigurationsfehlern. MITRE ATT&CK dokumentiert Techniken, bei denen Angreifer gültige Cloud-Konten nutzen, um auf Ressourcen zuzugreifen und Daten in Cloud-Speicher zu exfiltrieren. In solchen Szenarien mag die Infrastruktur zwar ordnungsgemäß konfiguriert erscheinen, während die Daten dennoch ungeschützt bleiben. Quelle: https://attack.mitre.org/

Für die Datensicherheit in der Cloud ist es erforderlich, einen Überblick darüber zu haben, wo sensible Daten gespeichert sind, wie sie übertragen werden, wer darauf zugreifen kann und wie sich das Risiko im Laufe der Zeit verändert. Das bedeutet, über reine Sicherheitsüberprüfungen hinauszugehen und sich mit der Erfassung, Klassifizierung, Risikoanalyse sowie der kontinuierlichen Überwachung in Cloud- und SaaS-Umgebungen zu befassen – Fähigkeiten, die einen umfassenden Ansatz für das Datensicherheitsmanagement (DSPM) ausmachen.

Was CSPM gut macht

CSPM ist besonders gut darin, Probleme in der Cloud-Infrastruktur aufzudecken, die auf der Ebene der Steuerungsebene Risiken verursachen. Es überwacht Cloud-Konfigurationen kontinuierlich anhand von Referenzwerten und Compliance-Rahmenwerken. Es kann Probleme wie die folgenden aufdecken:

• Öffentlich zugänglicher Speicher

• Rollen mit übermäßigen Berechtigungen und zu weitreichenden Zugriffsrechten

• Unverschlüsselte Ressourcen / deaktivierte Verschlüsselung

• Offene Sicherheitsgruppen und exponierte Dienste bzw. Datenbanken

• Verstöße gegen interne Richtlinien oder gesetzliche Vorschriften

Für Cloud-Teams ist diese Transparenz von großem Wert. Sie hilft dabei, Sicherheitslücken zu identifizieren, Richtlinien durchzusetzen und häufige Sicherheitsrisiken zu verringern, die durch Konfigurationsabweichungen verursacht werden. Zudem ermöglicht sie wiederholbare Überprüfungen über mehrere Cloud-Anbieter hinweg, was manuell in großem Maßstab nur schwer zu bewerkstelligen ist.

Wo CSPM Defizite aufweist

Die Einschränkung liegt im Umfang. CSPM überprüft die Umgebung, gibt jedoch keinen Aufschluss darüber, was sich in dieser Umgebung befindet.

Ein „Bucket“ kann alle Konfigurationsprüfungen bestehen und dennoch regulierte Daten enthalten. Ein Kollaborationsarbeitsbereich kann genehmigte Einstellungen einhalten, während eine sensible Datei zu weitreichend freigegeben wird. Eine Cloud-Datenbank kann auf Netzwerkebene streng gesichert sein, während Anwendungsbenutzer, Dienstkonten oder vererbte Berechtigungen zu unerwarteten Sicherheitslücken führen.

Aus diesem Grund kann CSPM allein die Fragen nicht beantworten, die den Sicherheitsteams am meisten am Herzen liegen:

• Wo befinden sich sensible Daten?

• Um welche Art von Daten handelt es sich?

• Wer hat Zugriff darauf?

• Wie wird dies weitergegeben?

• Welche Risiken stellen das größte Geschäftsrisiko dar?

Herkömmliche CSPM-Lösungen bieten zudem nur begrenzte Einblicke in plattformübergreifende Datenflüsse. Das Tool, das Ihre AWS-Umgebung schützt, hat möglicherweise keinen Einblick darin, wie Daten zwischen AWS und Microsoft 365, Salesforce oder anderen Cloud-Diensten übertragen werden. Es kann zudem sein, dass Schatten-Repositorys übersehen werden, die durch persönlichen Cloud-Speicher, nicht genehmigte SaaS-Nutzung oder Exporte in externe Tools für die Zusammenarbeit entstehen.

Warum sich die Priorisierung aufgrund des Datenkontexts ändert

Sicherheitsteams sehen sich unter Umständen mit einer großen Menge an Sicherheitsbefunden konfrontiert, doch ohne den entsprechenden Datenkontext kann es ihnen schwerfallen, die Risiken mit den größten Auswirkungen zu priorisieren. Eine Testumgebung mit geringem Risiko und synthetischen Daten sollte nicht mit derselben Dringlichkeit behandelt werden wie ein Produktionssystem, das Finanzdaten von Kunden enthält.

Genau dieser Unterschied macht die datengestützte Transparenz so wichtig. Sie hilft dabei, wichtige technische Probleme von solchen zu unterscheiden, die für das Unternehmen wirklich kritisch sind. Eine Warnmeldung bezüglich öffentlich zugänglicher Speicherorte ist zwar schwerwiegend, doch wenn die betreffenden Daten keine sensiblen Informationen enthalten, kann die Reaktion anders ausfallen als bei einem ähnlich exponierten Speicherort, der regulierte Unterlagen oder geistiges Eigentum enthält.

Die Zugriffssteuerung stellt einen weiteren blinden Fleck dar. CSPM kann zwar überprüfen, ob allgemeine Infrastrukturrichtlinien vorhanden sind, gibt jedoch keinen vollständigen Überblick darüber, wie sich Zugriffsrechte über Gruppen, App-Berechtigungen, gemeinsam genutzte Ressourcen, tokenbasierten Zugriff oder Integrationen von Drittanbietern summieren. Im Laufe der Zeit können diese Zusammenhänge Sicherheitslücken schaffen, die bei grundlegenden Sicherheitsüberprüfungen nicht aufgedeckt werden.

Was das Data Security Posture Management (DSPM) bietet

Das Data Security Posture Management (DSPM) erweitert die Transparenz von der Infrastruktur auf die Daten. Im Mittelpunkt stehen dabei die Erkennung sensibler Informationen, deren Klassifizierung, die Ermittlung der Art und Weise, wie diese Informationen offengelegt werden, sowie die Überwachung der Veränderungen hinsichtlich dieser Offenlegung.

Ein solides Management der Datensicherheit beginnt mit der Erfassung der Datenbestände in Cloud- und SaaS-Umgebungen. Dabei muss ermittelt werden, wo sich die Daten befinden – sei es in Cloud-Speichern, in Tools für die Zusammenarbeit oder in genehmigten und nicht genehmigten Anwendungen.

An dieser Stelle fügt die Klassifizierung den geschäftlichen Kontext hinzu. Die reine Überprüfung der Inhalte reicht nicht aus; die Daten müssen im Hinblick auf ihre Sensibilität und ihre Auswirkungen verstanden werden. Das bedeutet, zwischen gewöhnlichen Dateien und regulierten Datensätzen wie personenbezogenen Daten (PII), PCI-Daten, Finanzdokumenten oder geistigem Eigentum zu unterscheiden.

Im Rahmen der Expositionsanalyse werden anschließend die Wege aufgezeigt, über die auf Daten zugegriffen werden kann. Dazu gehören Berechtigungen, Freigabeeinstellungen, externe Links, vererbter Gruppenzugriff, API-Exposition, Integrationen und das Nutzerverhalten. Zudem wird berücksichtigt, wie ein Angreifer durch die Kompromittierung eines Kontos oder durch eine Ausweitung von Berechtigungen an die Daten gelangen könnte.

Schließlich gewährleistet eine kontinuierliche Überwachung, dass Änderungen hinsichtlich Datenbewegung, -freigabe und -zugriff sofort erkannt werden, sobald sie eintreten. In Cloud-Umgebungen können sich die Sicherheitsrisiken rasch ändern, wenn Teams zusammenarbeiten, Prozesse automatisieren und neue Dienste einbinden.

CSPM und DSPM ergänzen sich

CSPM und DSPM sind keine Ersatzlösungen. Sie lösen unterschiedliche Probleme und erzielen gemeinsam die besten Ergebnisse.

CSPM sichert die Infrastrukturebene. Es gibt Ihnen Auskunft darüber, ob Cloud-Ressourcen korrekt konfiguriert sind und ob grundlegende Kontrollmaßnahmen vorhanden sind. DSPM erweitert die Transparenz auf die Datenebene. Es gibt Ihnen Auskunft darüber, welche sensiblen Daten vorhanden sind, wo diese gespeichert sind, wer darauf zugreifen kann und wie sie offengelegt werden könnten.

Diese kombinierte Sichtweise bietet Sicherheitsteams eine umfassendere Antwort sowohl auf Fragen zur Infrastruktur als auch zu den Daten. Zudem ermöglicht sie eine bessere Priorisierung von Risiken, da das Team eine Fehlkonfiguration mit den Ressourcen und Daten in Verbindung bringen kann, auf die sie sich tatsächlich auswirkt.

Unternehmen, die einheitliche Plattformen nutzen, wie beispielsweise die umfassende Security Service Edge SSE)-Lösung Skyhigh Security, können sowohl infrastruktur- als auch datenzentrierte Transparenz integrieren, um das gesamte Spektrum des Cloud-Daten- und Datenrisikomanagements abzudecken.

Praxisbeispiel

Stellen Sie sich ein Entwicklungsteam vor, das Quellcode zur Zusammenarbeit in einen Cloud-Speicher exportiert. CSPM könnte anzeigen, dass das Speicherkonto verschlüsselt und privat ist und den Basisrichtlinien entspricht. Aus infrastruktureller Sicht erscheint dies akzeptabel.

Eine datengestützte Transparenz könnte jedoch ein anderes Bild offenbaren. Das Repository könnte proprietäre Algorithmen, veraltete Zugriffsrechte von Auftragnehmern oder freigegebene Links enthalten, die nie widerrufen wurden. In diesem Fall liegt das Risiko nicht allein in der Cloud-Konfiguration. Es ist vielmehr die Kombination aus Konfiguration, Inhalt und Zugriffspfad.

Das Gleiche gilt für SaaS-Tools zur Zusammenarbeit. Dateien können zwar in zugelassenen Anwendungen gespeichert sein, jedoch an externe Parteien weitergegeben, durch Gruppenmitgliedschaft übernommen oder über verbundene Apps und API-Integrationen zugänglich sein. CSPM ist nicht darauf ausgelegt, diese Beziehungen zur Datenweitergabe im Detail abzubilden.

Warum moderne Cloud-Programme beide Sichtweisen benötigen

Mit der zunehmenden Nutzung der Cloud verteilen sich sensible Daten auf immer mehr Dienste, Identitäten und Kanäle der Zusammenarbeit. Infrastrukturkontrollen sind nach wie vor notwendig, reichen jedoch allein nicht mehr aus.

Eine ausgereifte Cloud-Sicherheitsstrategie erfordert einen einheitlichen Überblick sowohl über die Steuerungsebene als auch über die Datenebene. Das bedeutet, dass CSPM mit datenzentrierten Funktionen kombiniert werden muss, die sensible Inhalte erkennen, Risiken aufzeigen und risikobasierte Maßnahmen ermöglichen.

Organisationen, die diese Ansätze kombinieren, können Fragen wie die folgenden besser beantworten:

• Ist die Cloud-Ressource sicher konfiguriert?

• Enthält es sensible Daten?

• Haben die richtigen Personen Zugriff darauf?

• Wird es durch das Teilen von Inhalten, durch Integrationen oder durch externe Links offengelegt?

• Welche Probleme sollten zuerst behoben werden?

Diese Fragen verdeutlichen den Unterschied zwischen einer sicheren Konfiguration und einem sicheren Datenschutzstatus.