Einfache Fehler hinter Vorfällen bei Cloud-Diensten

Cloud-Technologie gewinnt zunehmend an Bedeutung, insbesondere für den Betrieb von KI-Diensten. Gleichzeitig steigt die Zahl der Sicherheitsvorfälle, und die Anforderungen an digitale Souveränität werden immer deutlicher. Zwei Forscher des Freedom of Information Research (FOI) haben Vorfälle und Maßnahmen im Bereich Cloud-Sicherheit untersucht.

Cloud-Dienste ermöglichen es Unternehmen, auf Speicherdienste, Software und Rechenkapazität zuzugreifen, ohne eigene Serverinfrastruktur aufbauen und betreiben zu müssen. Dadurch haben Cloud-Dienste die Voraussetzungen für die Expansion vieler Unternehmen geschaffen, insbesondere in Bereichen wie maschinellem Lernen und KI, die einen hohen Bedarf an Rechenleistung haben. Mittlerweile nutzen auch öffentliche Einrichtungen wie Regierungsbehörden Cloud-Dienste.

Die in den USA ansässigen hyperskalierbaren Cloud-Lösungen – sogenannte Hyperscaler –, die die Möglichkeit bieten, Rechenkapazität und Speicherplatz schnell zu erweitern, haben den Markt vollständig dominiert.

– Amazon, Google und Microsoft sind die wichtigsten amerikanischen Akteure, die über lange Zeit Datenkapazitäten und große Plattformen mit vielen verschiedenen Diensten aufgebaut haben., sagt Viktor Bergström, Forschungsingenieur bei Informationsfreiheitsabteilung Cyberabwehr- und Managementtechnologie.

Es ist riskant, sich auf die US-Cloud zu verlassen.

Immer mehr Organisationen setzen auf Cloud-Dienste, vor allem aus finanziellen Gründen.

– Das bedeutet, dass wir uns jetzt in einer interessanten Situation befinden, in der wir selbst im Bereich der Cloud-Dienste einen Mangel an Souveränität haben, sagt er. Viktor Bergström.

Dies birgt Risiken, beispielsweise wenn die USA beschließen, die genutzte IT-Infrastruktur abzuschalten, aber auch, weil die US-Regierung per Gesetz Zugriff auf Daten von US-Cloud-Dienstleistern hat, selbst wenn diese in Europa verwaltet werden.

– Man kann versuchen, das Problem technisch zu lösen, aber es gibt eine gesunde Zurückhaltung, sein Geschäft auf Hardware zu betreiben, die jemand anderem gehört, sagt Viktor Bergström.

Mit zunehmender Nutzung von Cloud-Diensten steigt auch die Zahl der Sicherheitsvorfälle. Im Namen der schwedischen Streitkräfte, Viktor Bergström und Forschungsingenieurkollege John Ziegenbein Sie bewerteten Vorfälle und Sicherheitsmaßnahmen im Zusammenhang mit Cloud-Sicherheit, die sie im Bericht beschreiben. Eine Überprüfung von Sicherheitsvorfällen und Maßnahmen im Zusammenhang mit Cloud-Diensten.

Sie haben die Hyperscaler, die den Markt dominieren, ins Visier genommen und untersucht, welche Arten von Schwachstellen, die hinter 157 Sicherheitsvorfällen der letzten zehn Jahre standen.

„Wir haben uns öffentliche Daten angesehen, und bei Sicherheitsvorfällen muss man bedenken, dass es immer auch nicht-öffentliche Vorfälle gibt. Wir haben aber versucht, einen möglichst umfassenden Überblick zu gewinnen“, sagt Viktor Bergström.

Einfache Fehlkonfigurationen als Ursache für Vorfälle

Mängel im Identitäts- und Zugriffsmanagement machte den größten Anteil der Cloud-Vorfälle aus, 58 Prozent.. Weitere häufige Ursachen für Vorfälle waren Mängel im Datenschutz und im Infrastrukturmanagement.

„Wir haben festgestellt, dass viele dieser Schwachstellen auf einfache Fehlkonfigurationen zurückzuführen sind. Unsere Hypothese ist, dass bei zunehmender Komplexität von Systemen, wie sie bei Cloud-Systemen häufig auftritt, kleine, einfache Fehler leicht übersehen werden. Man erstellt möglicherweise neue Unterkomponenten und entfernt andere“, sagt er. Viktor Bergström.

In Systemen mit Mängeln im Identitäts- und Zugriffsmanagement sowie im Infrastrukturmanagement waren sensible Daten oft leicht zugänglich für jeden, dem es gelang, sich Zugang zu verschaffen.

Insgesamt stellten wir fest, dass viele sensible Daten öffentlich im Internet verfügbar sind. Die Arbeit mit verschlüsselten gespeicherten Daten ist zeitaufwändiger, und es ist nicht immer offensichtlich, wann Daten geschützt werden sollten. verschlüsselt. Wir sind jedoch der Ansicht, dass die bei mehreren Vorfällen durchgesickerten Daten in vielen Fällen hätten verschlüsselt im Ruhezustand vorliegen müssen.

Viktor Bergström und John Ziegenbein Wir haben auch die von anerkannten Institutionen und Behörden im Bereich Cloud-Sicherheit empfohlenen Sicherheitsmaßnahmen geprüft. Dabei stellten wir fest, dass die Sicherheitsrahmen mit den vorgeschlagenen Maßnahmen umfangreich und komplex sind, was ihre praktische Umsetzung erschwert.

– Aber es gab auch viele Gemeinsamkeiten, sodass man den Eindruck hat, dass selbst unter Hyperscalern ein gewisser Konsens herrscht, sagt Viktor Bergström.

Der Aufbau sicherer Systeme ist zeitaufwändig.

Die Cloud-Sicherheit hat sich im zehnjährigen Untersuchungszeitraum der Forschungsingenieure schrittweise verbessert. In ihrem Bericht schlagen sie Maßnahmen vor, die Sicherheitsvorfälle verhindern können., zum Beispiel Infrastruktur als Code (IaC)), was bedeutet, dass IT-Ressourcen über Code anstatt über manuelle Konfiguration verwaltet werden.

Es gibt auch allgemeinere Tools und Übersichtssysteme, die das gesamte System überwachen und vor Fehlkonfigurationen warnen. Zahlreiche relevante und effektive Sicherheitslösungen stehen zur Verfügung, allerdings besteht hier das Risiko einer Abhängigkeit vom jeweiligen Anbieter, da umfangreiches anbieterspezifisches Fachwissen erforderlich ist.

Die Entwicklung der Cloud-Technologie schreitet rasant voran, und wenn Europäer und Schweden ihre eigenen Plattformen entwickeln wollen, sind viel Wissen und Vorbereitung erforderlich, sagt er. Viktor Bergström.

– Cloud-Dienste könnten aus Verteidigungssicht sehr interessant sein. Der Aufbau hochsicherer Systeme ist jedoch sehr zeitaufwändig.