Deep Dive: Cloud-Umgebung im Blick

• Eine vollständige Übersicht über alle Cloud-Ressourcen schafft Transparenz und bildet die Grundlage für mehr Sicherheit.
• Automatisierte Discovery-Tools helfen dabei, unbekannte, ungenutzte und nicht autorisierte Cloud-Dienste zu erkennen.
• Wer Datenflüsse, Abhängigkeiten und Netzwerkstrukturen dokumentiert, kann Sicherheitsrisiken und kritische Schwachstellen frühzeitig erkennen.
• Regelmäßige Cloud-Scans und kontinuierliches Monitoring halten die Übersicht aktuell und helfen dabei, Sicherheitslücken und Schatten-IT aufzudecken.

Bauen Sie ein zentrales Cloud-Asset-Inventar auf

• Ressourcen-ID und Name
• Ressourcentyp (virtuelle Maschine, Datenbank, Storage, Funktion etc.)
• Cloud-Anbieter und Region
• Zugehöriges Projekt/Abonnement/Konto
• Verantwortliche Personen/Teams
• Geschäftszweck
• Klassifizierung (Produktiv, Test, Entwicklung)

• Datenklassifizierung (kritisch, vertraulich, öffentlich)
• Compliance-Vorgaben: z.B. Datenschutz-Grundverordnung (DSGVO, für den Datenschutz), ISO 27001 (für die Informationssicherheit), HIPAA (Schutz von Gesundheitsdaten, speziell in den USA), TISAX (für die Informationssicherheit in der Autoindustrie)
• Aktive Sicherheitsmechanismen: Zugriffsschutz, Verschlüsselung, Schutz vor Datenverlust (Data Loss Prevention), rollenbasierte Zugriffskontrollen (RBAC)
• Bekannte Risiken oder dokumentierte Ausnahmen: z.B. temporäre Freigaben, veraltete Anwendungen und Systeme, Schwachstellen aus Scans

• Netzwerkeinstellungen: z.B. Subnetz-Zuordnung, Routing, Firewall-Policys, VPN-Verbindungen
• Patch- und Update-Status: Systemversion, Patch-Level, Automatisierungsgrad
• Datensicherung: Back-up-Zeitpläne, Aufbewahrungsrichtlinien, Restore-Teststatus
• Monitoring und Logging: aktive Überwachungs-Tools (z.B. Amazon CloudWatch, Azure Monitor, Google Stackdriver), konfiguriertes Log-Level, Alarmregeln

• Azure Resource Graph Explorer: Führt leistungsstarke Abfragen aus – über alle Ressourcen hinweg und in allen Einheiten, für die Verwaltung, Abrechnung und Skalierung (Subscriptions).
• Microsoft Defender for Cloud: Erkennt Cloud-Ressourcen automatisch und bewertet ihren Sicherheitsstatus.
• Azure Policy: Überwacht kontinuierlich, ob Ressourcen den definierten Compliance-Vorgaben entsprechen.
• Amazon Web Services (AWS):

• CloudCheckr: Für Bestandsaufnahme, Sicherheit und Kostenkontrolle
• CloudSploit: Für automatisierte Sicherheitsüberprüfungen
• Prisma Cloud von Palo Alto Networks: Für umfassende Multi-Cloud-Transparenz

• Microsoft Defender for Cloud Apps: Erkennt über 30.000 Cloud-Anwendungen und bewertet deren Risiko.
• Netskope Cloud XD: Liefert tiefgehende Einblicke in genutzte Apps und analysiert Datenflüsse.
• Zscaler CASB: Überwacht Cloud-Zugriffe, blockiert unzulässige Dienste und schützt sensible Daten.

Binden Sie die Cloud-Inventarisierung in bestehende Prozesse ein

• Betten Sie alle Cloud-Assets automatisch in Ihre bestehende CMDB ein, z.B. über native APIs der Hersteller oder Integrationen mit Dokumentations-Tools wie ServiceNow oder i-doit.
• Nutzen Sie dafür Konnektoren wie Amazons AWS ServiceNow Connector, Microsofts Azure-Monitor-CMDB-Integration oder die Asset Inventory API der Google Cloud Platform.
• Richten Sie regelmäßige Synchronisationsprozesse ein, um Änderungen in Echtzeit oder zeitgesteuert zu erfassen.
• Automatisieren Sie die Erkennung neuer Ressourcen über eventbasiertes Monitoring oder regelmäßige API-Scans.
• Validieren Sie regelmäßig die Datenkonsistenz zwischen Cloud-Plattformen und Ihrer CMDB auf Feld- und Objektebene.
• Setzen Sie dazu Skripte oder Tools ein, die Feldinhalte (z.B. Instanznamen, Tags, Status) in Ihrer CMDB und der Cloud vergleichen und Abweichungen melden.

• Integrieren Sie neue Cloud-Ressourcen in bestehende Genehmigungsprozesse (z.B. über IT-Servicemanagement-Workflows).
• Binden Sie Cloud-Templates oder Skripte mit Infrastructure-as-Code (IaC) direkt in das Freigabeverfahren ein, z.B. über ServiceNow-Kataloge oder Jira-Workflows.
• Erfassen Sie neue Instanzen direkt bei der Bereitstellung neuer Cloud-Software im zentralen Inventar, idealerweise automatisch per IaC oder Deployment-Webhook.
• Verwenden Sie Tools wie Terraform mit Backend-Logging oder GitOps-Workflows, um jede Änderung systematisch zu erfassen.
• Scannen Sie regelmäßig auf nicht registrierte oder unbekannte Ressourcen, z.B. mit CSPM-Lösungen (Cloud Security Posture Management) oder API-basierten Skripten.
• Gängige Tools hierfür sind: Palo Alto Prisma Cloud, Microsoft Defender for Cloud, AWS Config und Open-Source-Scanner wie CloudMapper und Prowler.

• Definieren Sie obligatorische Tags: Owner, Projekt, Kostenstelle, Umgebung.
• Dokumentieren Sie verbindliche Namenskonventionen und etablieren Sie diese als Teil Ihrer Deployment-Vorgaben.
• Setzen Sie für Tagging-Regeln auf Policy Engines (z.B. Azure Policy, AWS Tag Policies, GCP Organization Policies).
• Blockieren Sie Deployments ohne Pflicht-Tags direkt im Bereitstellungsprozess.
• Überprüfen Sie regelmäßig die Tagging-Compliance.
• Automatisieren Sie die Prüfung z.B. mit Azure Resource Graph, AWS Config Rules oder dem GCP Policy Analyzer.

• Aktivieren Sie Benachrichtigungen für nicht autorisierte Änderungen (z.B. über AWS Config Rules, Azure Change Tracking & Inventory oder GCP Audit Logs).
• Konfigurieren Sie Benachrichtigungen so, dass bei Abweichungen automatisch Tickets oder Alerts erstellt werden.
• Vergleichen Sie regelmäßig den Istzustand mit der dokumentierten Sollkonfiguration.
• Tools wie Terraform Drift Detection, AWS Drift Detection (Teil von AWS CloudFormation) oder Ansible unterstützen Sie dabei.
• Reagieren Sie auf kritische Abweichungen mit entsprechenden Mechanismen, z.B. mit Re-Deployment, Rollback oder automatisierter Richtlinienkorrektur via IaC (z.B. mit Terraform, Pulumi, Ansible).
• Fügen Sie Ihrer automatisierten Infrastrukturverwaltung Funktionen hinzu, die Abweichungen erkennen und automatisch beheben – z.B. mit Tools wie Terraform, Pulumi oder AWS CloudFormation. Sorgen Sie außerdem dafür, dass bei bestimmten Fehlern automatisch eine vorherige, funktionierende Version wiederhergestellt wird – etwa über Auto-Rollback-Funktionen von GitLab CI/CD, Spacelift oder AWS CodeDeploy.

• Datenquellen (z.B. Benutzer:innen, APIs) und Zielsysteme (z.B. Datenbanken, Speicherdienste, Reporting-Tools)
• Verarbeitungsschritte, etwa Transformation, Validierung oder Anreicherung
• Notieren Sie, wo Daten gespeichert werden, inklusive Region und Speicherart (z.B. Amazon S3, Azure Blob Storage, SQL, NoSQL)

• Art der übertragenen Daten
• Sensibilitätsgrad der Daten
• Übertragungsprotokolle und -wege
• Implementierte Sicherheitsmaßnahmen (Verschlüsselung, Zugriffskontrollen)

• Strukturierte Daten (Datenbanken, APIs)
• Unstrukturierte Daten (Dokumente, Bilder)
• Logs und Telemetriedaten
• Back-up- und Archivdaten

• Direkte Abhängigkeiten (Service A ruft Service B direkt auf)
• Indirekte Abhängigkeiten (Service A benötigt Daten, die Service C von Service B erhält)
• Externe Abhängigkeiten (Verbindungen zu Drittanbieterdiensten)

• Schadenpotenzial: Welche Konsequenzen hat ein Ausfall? (z.B. Datenverlust, Geschäftsunterbrechung, Verletzung von Dienstleistungsvereinbarungen)
• Auswirkungsprüfung: Welche Anforderungen gelten an die Verfügbarkeit, Reaktionszeit oder Datenkonsistenz? Gibt es Alternativen oder Fallback-Mechanismen?

• Synchron oder asynchron: z.B. ressourcenübergreifender REST-Aufruf mit direkter Antwort vs. zeitversetzte Event-Verarbeitung via Message Queue
• Push oder Pull: z.B. aktives Senden von Daten vs. Datenabruf bei Bedarf
• Eventgetriebene Modelle: z.B. Trigger durch Cloud-Funktionen, Webhooks oder Publish/Subscribe-Mechanismen, bei denen Inhalte veröffentlicht werden, ohne dass klar ist, wer diese später empfängt.

• Microsoft Service Map (Azure Monitor): Visualisiert Netzwerkverbindungen und Anwendungsabhängigkeiten.
• AWS X-Ray: Verfolgt Service-Interaktionen in verteilten AWS-Anwendungen (z.B. Lambda, API Gateway, RDS).
• Google Cloud Trace: Analysiert Latenzpfade und Servicebeziehungen innerhalb von GCP-Diensten.

• Private-Cloud-Netzwerke wie VPCs (Amazon) bzw. VNets (Azure) und Subnetze
• Peering-Verbindungen zwischen Regionen oder Accounts
• Hybridverbindungen (VPN, Direct Connect, Express Route)
• Load Balancer und Gateways
• Firewall-Regeln und Netzwerksicherheitsgruppen

• Öffentliche Endpunkte
• API-Gateways
• Geografisch unabhängige Konfigurationen von CDNs (Content Delivery Networks) inklusive Caching-Regeln und Zugriffsrechten
• DDoS-Schutzmaßnahmen gegen Dienstausfälle, z.B. Azure DDoS Protection oder AWS Shield

• Trennung von Produktions-, Test- und Entwicklungsumgebungen
• Isolation sensibler Workloads
• Mikrosegmentierung auf Anwendungsebene

• Azure Network Topology mit Azure Network Watcher
• AWS Network Manager mit VPC Flow Logs
• Google Network Topology mit VPC Flow Logs

• Identity and Access Management (IAM)
• Verschlüsselungsoptionen
• Netzwerksicherheit
• Threat Detection und Response
• Compliance-Tools wie Azure Policy, AWS Config, GCP Organization Policy Service

• Konfigurationsdetails
• Abdeckungsgrad (welche Ressourcen sind geschützt?)
• Verantwortliche für Monitoring und Management

• Nicht aktivierte, aber empfohlene Funktionen
• Gründe für Nicht-Aktivierung
• Kompensatorische Maßnahmen

• ISO 27001, 27017, 27018
• SOC 1, 2, 3
• BSI C5
• Branchenspezifische Standards (z.B. PCI DSS für den Zahlungsverkehr, HIPAA für den Gesundheitsbereich)

• Welche Aspekte durch den Cloud-Anbieter abgedeckt sind
• Welche Aspekte in Ihrer Verantwortung liegen
• Wie die Einhaltung nachgewiesen wird

• Identifizieren Sie nicht erfüllte Compliance-Anforderungen.
• Entwickeln Sie Maßnahmen zur Schließung der Lücken.
• Priorisieren Sie die Maßnahmen nach Risiko und regulatorischen Vorgaben.

• Microsoft Trust Center und Purview Compliance Manager
• AWS Artifact und Compliance Programs
• Google Cloud Compliance Resource Center

• Integration über SIEM (Security Information and Event Management) zur Anomalie-Erkennung
• Zentrale IAM-Lösungen zur Identitätsprüfung
• Unified Endpoint Management für eine zentrale Geräteverwaltung
• Zentrale Verwaltung von Verschlüsselungsschlüsseln

• Standardisierte Sicherheitskontrollen über alle Umgebungen hinweg
• Einheitliche Sicherheitsrichtlinien für On-Premises- und Cloud-Ressourcen
• Zentrales Security Monitoring und Incident Response

• Automatisierte Compliance-Überprüfungen
• Kontinuierliche Sicherheitsbewertungen
• Automatisierte Reaktionen auf Sicherheitsvorfälle

• Microsoft Sentinel für cloudübergreifendes SIEM und SOAR (Security Orchestration, Automation and Response)
• Splunk Enterprise Security für umfassende Sicherheitsanalysen
• Palo Alto Prisma Cloud für einheitliche Cloud-Sicherheit
• CheckPoint für Multi-Cloud-Sicherheitsmanagement

• Wöchentliche automatisierte Scans auf neue oder geänderte Ressourcen
• Monatliche tiefergehende Analysen der Cloud-Nutzung
• Vierteljährliche Überprüfung der Gesamtarchitektur und Abhängigkeiten

• Netzwerk-Traffic-Analysen zur Identifizierung nicht autorisierter Cloud-Dienste
• Integration von CASB-Lösungen zur Erkennung von Schatten-IT im Bereich Software-as-a-Service (SaaS) an der Schnittstelle zwischen Unternehmen und Cloud-Diensten
• Regelmäßige Abgleiche zwischen genehmigten und tatsächlich genutzte Diensten

• Automatisierte Alerts für nicht konforme Ressourcen
• Integration von Cloud-Ressourcenänderungen in Ihr SIEM
• Dedizierte SOC-Playbooks für cloudspezifische Sicherheitsvorfälle, z.B. nicht getaggte Instanzen, offene Speicher oder Schatten-Datenbanken