Einheitliche Sicherheitsrichtlinien für Cloud- und lokale Umgebungen

Unter hybridem Sicherheitsrichtlinienmanagement versteht man die Vorgehensweise, eine Sicherheitsrichtlinie einmalig zu definieren und sie einheitlich auf jeden Durchsetzungspunkt anzuwenden – sei es ein Gateway in einem Rechenzentrum, ein Gerät in einer Zweigstelle oder ein Cloud-Präsenzpunkt. Das Ziel besteht darin, dass ein Benutzer, ein Gerät, ein Datentyp oder eine Anwendung stets auf dieselbe Weise behandelt wird, unabhängig davon, welcher Durchsetzungspunkt den Datenverkehr verarbeitet.

Dieser Artikel ist Teil des Leitfadens zur Hybrid-Cloud-Sicherheit.

Warum Richtlinien in hybriden Umgebungen vom Kurs abweichen

Zu einer Abweichung kommt es, wenn dieselbe Absicht an mehr als einer Stelle separat implementiert wird:

• Ein lokal installiertes Gateway und ein Cloud-Dienst mit unterschiedlicher Regelsyntax und unterschiedlichen Kategoriedatenbanken
• Ausnahmen, die in einer Umgebung dringend hinzugefügt wurden und in der anderen Umgebung nie übernommen wurden
• Verschiedene Teams, die für die Richtlinien zur Netzwerk-, Cloud- und Datensicherheit zuständig sind
• DLP-Wörterbücher wurden für einen Kanal aktualisiert, für einen anderen jedoch nicht
• Notfalländerungen, die außerhalb des normalen Prozesses direkt auf den Geräten vorgenommen wurden

Das Ergebnis ist, dass die Sicherheit davon abhängt, wo sich ein Benutzer gerade befindet. Prüfer entdecken diese Schwachstelle, Angreifer nutzen sie aus, und die Fehlerbehebung verzögert sich, da niemand sicher ist, welche Richtlinie gilt. Die „Top Ten Cloud Security Mitigation Strategies“ der NSA und der CISA gehen direkt auf dieses Problem ein und bieten Strategien für eine sichere, automatisierte Bereitstellung mittels „Infrastructure as Code“ sowie für die Komplexität von Hybrid- und Multi-Cloud-Umgebungen.

Eigentumsverhältnisse

Eine einheitliche Politik beginnt mit einer klaren Zuständigkeitsverteilung für jeden Politikbereich, die vor der Auswahl der Instrumente festgelegt wird.

Jede Regel sollte auf einen Verantwortlichen und einen geschäftlichen Grund zurückgeführt werden können.

Versionsverwaltung

Behandeln Sie Sicherheitsrichtlinien wie Programmcode, sodass jede Änderung überprüft, protokolliert und rückgängig gemacht werden kann:

• Speichern Sie die Definitionen der Geschäftsrichtlinien in einem Versionskontrollsystem oder nutzen Sie eine Plattform, die einen vollständigen Versionsverlauf aufbewahrt.
• Für jede Änderung sind eine Beschreibung, eine Ticket-Referenznummer und ein Genehmiger anzugeben.
• Überprüfen Sie die Änderungen vor der Bereitstellung, einschließlich eines Vergleichs mit der aktuellen Version.
• Es werden Tags vergeben, damit jeder bereitgestellte Zustand identifiziert und wiederhergestellt werden kann.

Die in NIST SP 800-53, Rev. 5, festgelegten Kontrollmaßnahmen für das Konfigurationsmanagement, einschließlich der Basiskonfiguration (CM-2) und der Kontrolle von Konfigurationsänderungen (CM-3), gelten für Sicherheitsrichtlinien ebenso wie für Server. NIST SP 800-128 beschreibt sicherheitsorientierte Verfahren des Konfigurationsmanagements, die diese Maßnahmen unterstützen.

Einführung

Führen Sie Änderungen an Richtlinien schrittweise ein, damit eventuelle Probleme zunächst bei einer kleinen Gruppe zutage treten, bevor sie alle betreffen:

1. Führen Sie die Validierung in einer Testumgebung oder mit einem Tool zur Richtlinien-Simulation durch.
2. Canary für eine kleine Nutzergruppe oder einen Standort.
3. Überwachen Sie Blockraten, Fehler und Helpdesk-Tickets im Vergleich zur Basislinie.
4. Erweitern Sie Ihre Infrastruktur schrittweise über Standorte und Cloud-Regionen hinweg.
5. Bitte stellen Sie sicher, dass jeder Durchsetzungspunkt die neue Version meldet.

Legen Sie für dringende, durch Sicherheitsrisiken bedingte Änderungen einen beschleunigten Prozess fest, bei dem die Änderung dennoch protokolliert und überall synchronisiert wird.

Ausnahmen

Ausnahmen sind die Bereiche, in denen die Konsistenz am schnellsten nachlässt.

Verwenden Sie ein einziges Ausnahmeregister, das alle Umgebungen abdeckt:

• Geltungsbereich: Benutzer, Gruppen, Ziele, Datenklassen und Kanäle
• Umgebungen: Für welche Durchsetzungspunkte gilt die Ausnahme?
• Begründung und Eigentümer
• Ablauf- oder Überprüfungsdatum
• Ausgleichsregelungen

Ausnahmen sollten in der zentralen Richtlinie angelegt und weitergegeben werden; sie dürfen niemals direkt auf einzelnen Geräten konfiguriert werden.

Driftprüfungen

Bei der Abweichungserkennung wird die beabsichtigte Richtlinie mit der tatsächlich implementierten verglichen.

• Versionsprüfung: Jeder Durchsetzungspunkt meldet die aktive Version seiner Richtlinie; bei Abweichungen wird eine Warnung ausgegeben.
• Konfigurationsvergleich: Exportieren Sie regelmäßig die bereitgestellte Konfiguration und vergleichen Sie diese mit der genehmigten Basisversion.
• Verhaltenstest: Führen Sie URL- und Anwendungstests am lokalen Gateway durch und führen Sie Datensicherheitstests für den Cloud-basierten Pfad durch, an den das Gateway die Daten weiterleitet; vergleichen Sie anschließend die Ergebnisse mit der von Ihnen erstellten Richtlinie.
• Ausnahmeprüfung: Vergleichen Sie die Ausnahmen auf Geräteebene mit dem zentralen Register.

Planen Sie mindestens einmal wöchentlich sowie nach jedem Änderungsfenster Überprüfungen der Abweichungen ein.

Rücknahme

Durch das Rollback sollte die vorherige Richtlinienversion an jedem Durchsetzungspunkt in einem einzigen Vorgang wiederhergestellt werden.

• Halten Sie die vorherige Version der Richtlinie bereit, um sie erneut auf allen Durchsetzungspunkten zu installieren.
• Legen Sie fest, wer ein Rollback genehmigen darf und unter welchen Bedingungen.
• Stellen Sie sicher, dass der Rollback im Rahmen desselben Vorgangs sowohl die Durchsetzungspunkte in der Cloud als auch die lokalen Durchsetzungspunkte erreicht.
• Erfassen Sie Rückgängigmachungen unter Angabe der Gründe und führen Sie anschließend eine Überprüfung durch.

Synchronisationsmodelle

Es gibt vier Synchronisationsmodelle, und das Drift-Risiko sinkt, je einheitlicher die Richtlinienverwaltung gestaltet wird.

Auch bei Systemen mit einer einzigen Richtlinien-Engine sind weiterhin Drift-Prüfungen erforderlich, da Geräte möglicherweise keine Aktualisierungen vornehmen; allerdings entfällt dadurch die Übersetzung zwischen den verschiedenen Regelsprachen.

Checkliste für die zentralisierte Verwaltung von Sicherheitsrichtlinien

Verwenden Sie diese Checkliste, um sicherzustellen, dass die Verwaltung der Hybrid-Richtlinien unter Kontrolle ist.

• Jeder Politikbereich hat einen Verantwortlichen und einen Genehmigungsbeauftragten
• Alle Richtlinienänderungen werden mit Ticket-Referenzen versioniert.
• Änderungen werden schrittweise eingeführt und dabei überwacht
• Ein einziges Ausnahmeregister deckt alle Umgebungen ab
• Der Bericht zu den Durchsetzungspunkten listet die aktiven Richtlinienversionen auf
• Drift-Prüfungen werden nach einem festgelegten Zeitplan sowie nach Änderungen durchgeführt
• Der Rollback ist dokumentiert und getestet
• Synthetische Tests bestätigen, dass eine erstellte Richtlinie für jede Sitzung das erwartete Ergebnis liefert, und zwar an der Durchsetzungsstelle, die diese Sitzung verarbeitet.

Wie Skyhigh eine einheitliche Hybrid-Richtlinie unterstützt

Skyhigh gewährleistet die Konsistenz der Hybrid-Richtlinien, indem es einen einzigen Satz von Richtlinien als Code an jeden Durchsetzungspunkt überträgt.

Skyhigh nutzt eine „Policy-as-Code“-Architektur, die Richtlinien automatisch auf physische Geräte, virtuelle Systeme und Cloud-Knoten überträgt, ohne dass eine manuelle Abstimmung zwischen den Umgebungen erforderlich ist (Skyhigh Security). Die hybride SWG-Lösung unterstützt die Migration von Richtlinien aus dem lokalen Umfeld in die Cloud mit einem einzigen Klick sowie die Echtzeit-Synchronisierung einheitlicher Richtlinien; die Regelverfolgung zeigt zudem an, welche Richtlinie den Datenverkehr eines bestimmten Nutzers beeinflusst hat (Skyhigh Security). Mit dem Plattform-Update vom März 2026 wurden ein standortunabhängiges, einheitliches Richtlinienmanagement sowie ein programmierbares, erweiterbares Richtlinien-Framework eingeführt. Über das „Skyhigh Hybrid SSE Mesh“ werden Richtlinien einmalig in der Cloud-Konsole erstellt und gelten für jede Sitzung. „ Secure Web Gateway “, „Zero Trust Access“ und „Secure Browser Controls“ werden nativ auf dem lokalen Secure Service Gateway durchgesetzt, während DLP-, CASB-, DSPM-, RBI- und KI-Sicherheitskontrollen über die Skyhigh-Cloud angewendet werden.

Quellen

1. NSA und CISA. Die zehn wichtigsten Strategien zur Minderung von Cloud-Sicherheitsrisiken (7. März 2024). https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3699169/nsa-releases-top-ten-cloud-security-mitigation-strategies/
2. NIST. SP 800-53 Rev. 5: Sicherheits- und Datenschutzmaßnahmen für Informationssysteme und Organisationen. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
3. NIST. SP 800-128: Leitfaden für ein sicherheitsorientiertes Konfigurationsmanagement von Informationssystemen. https://csrc.nist.gov/pubs/sp/800/128/upd1/final
4. Skyhigh Security. „Modernisierung Ihrer Symantec Edge- Secure Web Gateway s mit Skyhigh Hybrid SSE Mesh“ (15. Juli 2026). https://www.skyhighsecurity.com/industry-perspectives/modernizing-your-symantec-edge-secure-web-gateway-with-skyhigh-hybrid-sse-mesh.html
5. Skyhigh Security. „Die Einführung von Hybrid-Lösungen ist mit der Skyhigh SSE-Plattform jetzt noch einfacher“ (3. Oktober 2024). https://www.skyhighsecurity.com/cloud-security/adopting-hybrid-just-got-easier-with-skyhigh-sse-platform.html
6. Skyhigh Security. „Skyhigh Security kündigt neue Lösungen zur Stärkung seiner bahnbrechenden universellen SSE-Plattform an“ (24. März 2026). https://www.skyhighsecurity.com/about/newsroom/newswire/skyhigh-security-announces-new-solutions-to-strengthen-disruptive-universal-sse-platform.html