https://pixabay.com/de/

Die Cloud-Nutzung hat 2018 einen neuen Höchststand erreicht und der Wachstumstrend wird voraussichtlich weiter anhalten. Mit einer beschleunigten Bereitstellung, einer flexibleren Kostengestaltung der Services und einfacheren Arbeitsabläufen bietet sie Vorteile, auf die Unternehmen im Zuge der Digitalisierung nicht verzichten können. Die unmittelbaren Vorteile tragen jedoch dazu bei, dass die damit verbundenen Konsequenzen für die IT-Sicherheit bei Unternehmen zunächst außer Acht gelassen werden. Die wesentliche Herausforderung für Unternehmen besteht darin, die in die Cloud ausgelagerten und genutzten Daten sicherzustellen. Für nicht wenige Organisationen bedeutet dies jedoch ein nahezu radikales Umdenken. Zusätzlich zur Sicherung von Umgebungen und Infrastrukturen ist eine weitere Ebene erforderlich, die bei den Daten ansetzt. Wie Unternehmen sich dieser Herausforderung nähern, welche Maßnahmen sie ergreifen und welche wesentlichen nächsten Schritte sie in diesem Zusammenhang sehen, darüber gibt eine Studie von Bitglass Aufschluss.

Nur wenige Unternehmen haben das Gefühl, ihre Cloud-Umgebung ausreichend gesichert zu haben: 84 Prozent sind sich darüber einig, dass traditionelle Sicherheitsmaßnahmen in der Cloud höchstens beschränkte Wirksamkeit entfalten können. Dies geht aus einer Umfrage von Bitglass hervor, die in Zusammenarbeit mit der Information Security Community durchgeführt wurde. Um einen Eindruck davon zu erhalten, wie Organisationen die Herausforderung Cloud-Sicherheit angehen, wurden 570 IT- und Security-Verantwortliche befragt. Folgenden drei Aufgaben räumen die Befragten derzeit höchste Priorität ein:

Anwendungen sichern

Insbesondere die Cyberattacken in jüngster Vergangenheit werfen Sicherheitsfragen auf, denn die vernetzte Natur der Cloud ermöglicht es Malware, sich schnell auf Geräte und Anwendungen von Organisationen auszubreiten und Daten zu kompromittieren. Beispielsweise kann Malware über einen Dokumenten-Upload in die Cloud-Anwendung gelangen und sich von dort in weitere verbundene Anwendungen ausbreiten. Bei der Sicherung von Anwendungen gibt es in zahlreichen Organisationen noch Verbesserungsbedarf, wie die Umfrage zeigt: Über zwei Drittel (69 Prozent) der befragten Organisationen überlassen den Schutz vor Malware ausschließlich Endpoint-Security-Lösungen, welche jedoch keinerlei Kontrollfunktionen über Malware in Cloud-Anwendungen sowie Zugriffsschutz über private Endgeräte bieten können. Lediglich 15 Prozent der Befragten ist es möglich, anormales Verhalten innerhalb der von ihnen genutzten Cloud-Anwendungen ausfindig zu machen.

Datensicherheit schaffen und Compliance gewährleisten

Regularien zur Sicherung von sensiblen Daten, branchenspezifische Vorgaben und insbesondere die neue Datenschutzgrundverordnung, schärfen das Bewusstsein der Unternehmen für die Sicherheit der von ihnen erhobenen Daten. So gaben die Teilnehmer der Studie eine Einschätzung der nach ihrer Ansicht nach bedeutendsten Datenverlustwege ab: Platz eins teilen sich dabei mit je 21,2 Prozent kompromittierte User Accounts sowie Infrastruktur-Schwachstellen. Diese Doppelspitze könnte unter Umständen auch dem Schock über den Uber-Hack geschuldet sein, der Ende 2017 und auch im weiteren Verlauf 2018 regelmäßig für Schlagzeilen sorgte: Cyberkriminelle hatten über einen von Uber-Entwicklern privat genutzten Github-Repo-Zugangsdaten für den AWS-Speicher von Uber erlangt. Auf diese Weise gelang es den Hackern, sensible Daten von mehr als 50 Millionen Kunden zu entwenden.

Auf Platz drei der bedeutendsten Datenverlustwege sehen die befragten IT-Verantwortlichen Malware (13,5 Prozent), gefolgt von Fehlkonfigurationen und nicht verwalteten Anwendungen (je 12 Prozent) sowie nicht verwaltete, private Geräte von Mitarbeitern. Die Sicherheitsmechanismen für Daten sind bei den Befragten Unternehmensvertretern jedoch noch verbesserungsfähig: 65 Prozent der Befragten verlassen sich vor allem auf Zugriffskontrollen. Jedoch sind die Fähigkeiten der Lösungen meist nicht granular genug, um ein ausreichendes Maß an Sicherheit zu bieten. 59 Prozent nutzen außerdem Verschlüsselung und Tokenisierung für die Sicherung von Cloud-Daten.

Mobile Endgeräte absichern

Mitarbeiter nutzen ihre persönlichen Geräte keineswegs nur privat. Der schnelle Zugriff auf Unternehmensdaten auch im Außendienst oder auf Geschäftsreise bietet ihnen angenehmen Komfort und die Arbeitgeber profitieren von nahtlosen Workflows. Jedoch geht dies zu Lasten der Kontrolle über die Unternehmensdaten. Cloud-Apps ermuntern ihre Nutzer schließlich auch dazu, all ihre Konten und Daten auf sämtlichen Endgeräten zu synchronisieren.

Nicht zuletzt deshalb, weil Apps auf den einzelnen Endgeräten auch Daten untereinander austauschen, ist nicht abzusehen, welche Wechselwirkungen sich ergeben und welche Datenverlustwege dadurch bestehen könnten. Die Notwendigkeit von Sicherheitsmaßnahmen haben die Beteiligten daher längst erkannt: Um Daten auch auf mobilen Endgeräten schützen zu können, installieren 38 Prozent spezielle Verwaltungssoftware auf den Geräten. 24 Prozent setzen auf das Modell »Trusted Devices«, in dessen Rahmen nur unternehmenseigenen Geräten Zugriff auf Unternehmensanwendungen gewährt wird. 11 Prozent jedoch haben dabei keinerlei Zugriffskontrollen in Betrieb, womit allen Smartphones oder Tablets mit den korrekten Anmeldeinformationen der Zugang zu Unternehmensdaten möglich ist.

Zusammenfassend lässt sich festhalten, dass Unternehmen für die Anforderungen der Cloud-Sicherheit durchaus sensibilisiert sind. Ebenso hat sich auch die Mehrheit bereits mit geeigneten Maßnahmen auseinandergesetzt, wie die Befragten abschließend bekannt gaben: Lösungen, die das Vertrauen der Befragten in Cloud-Sicherheit stärken, sind Verschlüsselung (49 Prozent), Sichtbarkeits- und Prüffähigkeiten sowie die Möglichkeit, Richtlinien über Cloud-Anwendungen hinweg auf- und durchzusetzen. Was sich insgesamt aus den erhobenen Daten der Studie auch schließen lässt, ist, dass über all die teilnehmenden Unternehmen hinweg das Sicherheitsniveau dennoch überaus heterogen ist. Dies kann dem Umstand geschuldet sein, dass Unternehmen Schwierigkeiten haben, Cloud-Security-Lösungen zu finden, die sich einfach in ihre bestehenden Sicherheitsumgebungen, die vornehmlich auf das Netzwerk fokussieren, einfügen lassen. Die IT-Security zentral an den Daten auszurichten und wirksamen Schutz für Daten in der Cloud zu bieten bleibt somit auch für die nähere Zukunft eine Herausforderung, die gemeistert werden will.

Michael Scheffler, Regional Director CEEU, Bitglass

Datensicherheit in der Cloud: Best Practices gegen Man-in-the-Cloud-Attacken

16. Januar 2019

Illustration: Absmeier, Stokpic

Das Nutzen von Cloud-Services gehört für die Mehrheit der Unternehmen längst zum festen Bestandteil der IT-Strategie. Die Möglichkeit des Datenzugriffs jederzeit und überall bringt zahlreiche Vorteile mit sich, allen voran verbesserte Flexibilität und erhöhte Produktivität. Die gestiegene Popularität dieser Dienste ist jedoch von böswilligen Akteuren nicht unbemerkt geblieben, was neue Arten von Cyberangriffen hervorgebracht hat. Eine Taktik, die in den vergangenen Jahren zunehmend zum Einsatz kam, ist der sogenannte »Man-in-the-Cloud« (MitC)-Angriff.

Wie funktionieren MitC-Angriffe?

Bei dieser Angriffsvariante wird versucht, ohne die erforderlichen Anmeldeinformationen Kontrolle über die Cloud-Konten der Opfer zu erlangen. Um darauf Zugriff zu erhalten, machen MitC-Angriffe sich Token des von Cloud-Anwendungen genutzten OAuth-Synchronisierungssystems zu Nutze. Die meisten gängigen Cloud-Dienste wie Dropbox, Microsoft OneDrive oder Google Drive speichern einen solchen Synchronisations-Token nach einer erfolgten Authentifizierung auf dem Gerät des Benutzers. Dies geschieht aus Gründen der Benutzerfreundlichkeit, denn der OAuth-Token erspart Benutzern bei jedem weiteren Anwendungszugriff die erneute Eingabe ihres Passworts – und ermöglicht auf diese Weise den Zugriff von überall aus. Letzteres ist ein wichtiges Detail, denn: Gelingt es einem Angreifer, auf ein Token zuzugreifen und dieses zu kopieren, kann er die Cloud des Opfers aus der Ferne infiltrieren. Und zwar auf eine Weise, die legitim erscheint und so Sicherheitsmaßnahmen umgeht.

Der einfachste Zugang zu einem Token führt über Social Engineering. Typischerweise geschieht dies durch Malware, die per E-Mail verbreitet wird. Einmal auf dem Gerät des Opfers ausgeführt, installiert diese Malware einen neuen Token, der zu einem Konto gehört, das der Angreifer erstellt hat. Den echten Token des Opfers verschiebt die Schadware in den Cloud-Synchronisierungsordner des Angreifers. Wenn das Gerät des Opfers das nächste Mal synchronisiert wird, werden die Daten des Opfers mit dem Konto des Angreifers synchronisiert. Dabei wird dem Angreifer der echte Token von dem Account des Opfers offenbart. An diesem Punkt kann die Malware dazu verwendet werden, den echten Account-Token wieder auf den Computer des Opfers zu kopieren und den bösartigen zu löschen. Damit sind alle Spuren des Sicherheitsverstoßes beseitigt, der Angreifer verfügt allerdings über den vollen Zugriff auf den Account des Opfers.

Geeignete Schutzmaßnahmen gegen MitC-Angriffe

Auf Grund seiner besonderen Art lässt sich ein MitC-Angriff mit herkömmlichen Endpoint- und Netzwerkschutzmaßnahmen nur schwer verhindern. Es gibt jedoch eine Reihe von Schritten, mit denen Unternehmen das Risiko, ein MitC-Opfer zu werden, weitgehend beseitigen können:

Regelmäßige Security-Trainings durchführen

Es klingt immer wieder einfach und ist dennoch so wirkungsvoll. MitC-Angriffe setzen auf Taktiken des Social Engineering, welche allerdings bei aufgeklärten und wachsamen Mitarbeitern deutlich weniger Erfolgsaussichten haben. Mit regelmäßigen Schulungen, in denen anschaulich über gängige Angriffstaktiken informiert wird, schaffen Unternehmen ein erhöhtes Sicherheitsbewusstsein bei ihrer Belegschaft. Die Wahrscheinlichkeit, dass Mitarbeiter auf einen verdächtigen Link oder Anhang in einer Phishing-E-Mail klicken, sinkt damit deutlich.

Daten nur verschlüsselt in der Cloud speichern

Zwar kann die Verschlüsselung einen MitC-Angriff nicht verhindern, jedoch sorgt sie dafür, dass die Daten im Fall eines unautorisierten Zugriffs für den Angreifer unlesbar und damit unbrauchbar sind. Voraussetzung dafür ist natürlich, dass die Keys für die Verschlüsselung nicht im selben Ziel-Clouddienst gespeichert sind. Einem Sicherheitsverstoß im datenschutzrechtlichen Sinne kann mit Verschlüsselung vorgebeugt werden.

Multi-Faktor-Authentifizierung aktivieren

Multi-Faktor-Authentifizierung (MFA) ist ein weiterer einfacher, aber effektiver Weg, um die Bedrohung durch MitC-Angriffe zu minimieren. Diese Authentifizierungsfunktion ist sowohl bei führenden Cloud-Services wie Office 365 als auch speziellen Cloud-Sicherheitslösungen verfügbar. MFA fügt eine weitere Sicherheitsebene hinzu, die einen MitC-Angreifer, der nicht in der Lage ist, sich über einen OAuth-Token hinaus zu authentifizieren, leicht vereiteln kann.

Cloud Access Security Broker (CASB) nutzen

Eine der umfassendsten Möglichkeiten, sich vor Bedrohungen wie MitC-Angriffen zu schützen, ist der Einsatz eines CASB. CASBs regeln den gesamten Datenverkehr zwischen den Cloud-Apps eines Unternehmens und den Endgeräten. Sie ersetzen automatisch die OAuth-Token jeder App durch verschlüsselte Token, bevor sie an die Endpunkte weitergeleitet werden. Wenn ein Gerät versucht, auf eine Cloud-App zuzugreifen, wird der eindeutige, verschlüsselte Token dem CASB präsentiert, der ihn entschlüsselt und an die App weiterleitet. Falls der Token eines Benutzers durch den eines Hackers ersetzt wurde, schlägt die Validierung und Entschlüsselung am Proxy mit dem bösartigen Token fehl, worauf der Zugriff auf das Konto des attackierten Opfers verweigert und der Angriff zunichte gemacht wird.

Mit der Popularität der Cloud entstehen auch neue Angriffstechniken auf die dort abgelegten Daten. Für Unternehmen ist es deshalb essentiell, die Datensicherheit und damit verbundene Maßnahmen weiterzuentwickeln. Regelmäßige Mitarbeiterschulungen, kombiniert mit Sicherheitsmaßnahmen wie Verschlüsselung, Multi-Faktor-Authentifizierung und der Einsatz von Cloud Access Security Brokern sind wesentliche Schritte auf dem Weg zu einer datenzentrierten Sicherheitsstrategie.

Anurag Kahol, CTO, Bitglass

Intelligente Wolkenwächter: Datenzentrierte Sicherheit mit CASBs

7. Januar 2019

Illustration: Absmeier, Kellepics

Nicht nur die DSGVO macht es deutlich: In Zukunft stehen die Daten im Zentrum der IT-Sicherheitsstrategie. Dieser Strategiewechsel gestaltet sich für einige Unternehmen angesichts der wachsenden Migration in die Cloud als schwierig, da zu jeder Zeit sowohl der Überblick als auch die Kontrolle über sämtliche erhobenen Daten gefordert ist. Um diese Herausforderung meistern zu können, sind Cloud Access Security Broker (CASBs) entwickelt worden. Worauf Unternehmen bei der Auswahl achten sollten, erläutert der nachstehende Artikel.

Heutzutage benötigen Unternehmen Lösungen, mit denen Daten überall gesichert werden können. Um Daten jenseits des Netzwerkperimeters in Cloudanwendungen überwachen und schützen zu können, wurden Cloud Access Security Broker entwickelt. Die ersten CASBs auf dem Markt arbeiteten agentenbasiert. Um diese nutzen zu können, war eine Softwareinstallation auf allen Endgeräten erforderlich. Den IT-Administratoren ermöglichten sie das Ermitteln von nicht genehmigten Cloud-Anwendungen und damit eine Eindämmung der Schatten-IT. Nicht selten stellte sich durch den Einsatz von CASBs heraus, dass Unternehmensdaten sich in weitaus mehr Cloudanwendungen befanden als von den IT-Administratoren ursprünglich geschätzt. Da Unternehmen auch zunehmend Ressourcen aus Rechenzentren in die Cloud verlagerten und Anwendungen wie Office 365, AWS, Salesforce und G-Suite nutzten, wurden CASBs schnell zu unverzichtbaren Sicherheitswerkzeugen.

Dank API-Integrationen konnten diese neben mehr Transparenz auch einige Kontrollfunktionen bieten. So waren diese Lösungen nicht nur in der Lage, Schatten-IT-Prozesse aufzudecken, sondern sie warnten das IT-Team auch, wenn sich sensible Daten über das Unternehmensnetzwerk hinaus bewegen. Schutzfunktionen, die in Echtzeit auf Daten jenseits des Netzwerks angewendet werden können, konnten ausschließlich API-basierte CASBs allerdings nicht bieten.

Diese erweiterten Kontrollfunktionen werden durch die aktuelle Generation – proxy-basierte CASBs – abgedeckt. In der Regel basiert die Architektur auf einem primären Proxy-Mechanismus, entweder ein Forward-Proxy oder ein Reverse-Proxy. Forward-Proxys kommen vor allem für verwaltete Geräte zum Einsatz, während Reverse-Proxys für nicht verwaltete Geräte verwendet werden, da sie den Zugriff mit Single Sign On (SSO) regeln und keine Installation auf dem Gerät erfordern. Die umfassendste CASB-Form sind sogenannte hybride oder multimodale CASBs, die zusätzlich über eine API-Integration verfügen.

Die neueste Generation: Intelligente, agile CASBs

Angesichts einer wachsenden Datenmenge in Unternehmen, höheren regulatorischen Anforderungen an den Datenschutz und fortschrittlichen Bedrohungen müssen langfristig auch die Schutzmechanismen agiler werden. Viele Anbieter entwickeln daher CASB-Funktionen zur proaktiven Identifizierung verdächtiger Aktivitäten, wie zum Beispiel die zeitgleiche Anmeldung von mehreren Standorten oder das Herunterladen großer Mengen sensibler Daten. Funktionen wie Data Leakage Protection und Mustererkennung unterstützen IT-Teams mit automatisierter Identifizierung und Sicherung sensibler Informationen. Diese Funktionen wenden für bestimmte Daten, wie beispielsweise Adressen oder Sozialversicherungsnummern, automatisch Verschlüsselungsfunktionen an.

Vor dem Hintergrund neuer Angriffsszenarien von Malware in Cloud-Anwendungen kommen auch Machine Learning und künstliche Intelligenz zum Einsatz, um Daten vor Advanced Persistent Threats (APTs) schützen zu können. Intelligente Lösungen sind mit maschinellem Lernen in der Lage, Malware in Dateien sowie in Echtzeit während des Up- oder Downloads in oder aus der Cloud zu erkennen und zu blockieren. Ebenso erfolgt ein Scan der in der Cloud abgelegten Daten (data at rest), um der Ausbreitung von Malware auf die angeschlossenen Cloud-Anwendungen vorzubeugen. Führende CASB-Lösungen bieten mit verhaltensbasierter Bedrohungserkennung durch maschinelles Lernen Schutz sowohl vor bekannter als auch unbekannter Malware. Durch das automatische Erfassen und die Auswertung der Nutzung unautorisierter Cloud-Anwendungen ist vollständige Datentransparenz gewährleistet.

Best Practices zur Auswahl des richtigen CASBs

Der Funktionsumfang von CASBs variiert je nach Hersteller. Für Unternehmen ist es deshalb wichtig, sich vorab damit auseinanderzusetzen, wie die einzelnen Architekturen implementiert und verwaltet werden, da sie große Auswirkungen auf die unterstützten Anwendungs- und Gerätetypen sowie auf den mit der Systemverwaltung verbundenen operativen Overhead haben können. Folgende Fragen helfen, die Auswahl einzugrenzen:

Anwendungscheck:
Ein Ausgangspunkt vor dem Kauf eines CASBs-Produkts ist die Frage, für welche Anwendungen es genutzt werden soll. Dies umfasst nicht nur um Apps, die sich gegenwärtig im Gebrauch befinden. Es sollte berücksichtigt werden, dass in Zukunft sowohl neue Anwendungen hinzukommen als auch bereits jetzt weitere, nicht genehmigte Anwendungen von Mitarbeitern genutzt werden. Um herauszufinden, ob die Technologie eines Anbieters agil genug ist, hat sich für Unternehmen übrigens folgender Trick bewährt: Dem Anbieter wird vorab eine Liste mit nur einem Teil der verwendeten Apps gegeben. Bei der Testimplementierung zeigt sich dann, ob auch die weiteren Apps von der Lösung identifiziert wurden. Für Unternehmen ein Indiz, um die Zukunftssicherheit des Produkts zu ermitteln.

Definition von Authentifizierungs- und Zugriffsprozessen:
Für ein Anforderungsprofil an CASBs ist es wichtig, festzulegen, welche Art von Zugriff und Kontrolle bei den einzelnen Cloudanwendungen erforderlich sind. Ein Verständnis der Geschäftsprozesse und der Art, wie Mitarbeiter die Anwendungen im Tagesgeschäft nutzen, ist eine notwendige Voraussetzung, um festzulegen, in welchen Fällen eine detailliertere Authentifizierung nötig ist und wann nicht.

Verschlüsselungsverfahren:
Insbesondere eine der wichtigsten Funktionen von CASBs – die Verschlüsselung – sollten Unternehmen genau prüfen. Führende CASBs nutzen den derzeit höchsten Verschlüsselungsstandard: Der Advanced Encryption Standard (AES) mit 256 Bit-Schlüsseln (AES-256). Der Initialisierungsvektor, eine weitere Komponente, sorgt dafür, dass jedes Mal– auch bei wiederholter Verschlüsselung desselben Plaintexts – ein zufälliger Chiffretext erzeugt wird. Die Länge dieses Initialisierungsvektors sollte 256 Bit entsprechen, um eine ausreichende Zufälligkeit und damit ein Höchstmaß an Sicherheit zu gewährleisten.

Unterstützung alternativer Zugriffsarten:
Eine CASB-Lösung sollte neben der Überwachung des Web/HTTPS-Traffics auch alternative Zugangsarten, wie den Zugriff auf Cloud-basierte E-Mail-Systeme wie Office 365, MS Outlook oder Mac OS X Mail über Web oder mobile Endgeräte via Activesync unterstützen. Die Lösung sollte die wichtigsten Cloud-Anwendungen für Unternehmen sowie SaaS-, IaaS- und benutzerdefinierte Anwendungen unterstützen. Die umfassendsten CASB-Lösungen ihrer Art sind agentenlos, mit Unterstützung für jede App und Geräteart, integriertem Identitäts- und Zugriffsmanagement (IAM) und agentenloser mobiler Datensicherung.

Cloud Access Security Broker entwickeln sich schnell zu einer unverzichtbaren Sicherheitslösung für Unternehmen, die bereits Cloud-basierte Anwendungen einsetzen oder diese einsetzen wollen. Diese Technologien schließen die Lücken, die Anbieter von Cloud-Apps dem Unternehmen überlassen haben, um die Sichtbarkeit und Datensicherheit zu verbessern. Der Vorteil für Unternehmen besteht darin, dass sie statt vieler verschiedener Sicherheitslösungen für unterschiedliche Sicherheitsbedürfnisse nur eine einzige Lösung für die gesamte Cloud-App-Security implementieren können, die zudem kostengünstiger und einfacher zu bedienen ist.

Michael Scheffler, Regional Director Central and Eastern Europe, Bitglass