Die sichere Public Cloud

Public Cloud ohne eigene DNS ist Einfallstor für Angriffe

Laut Branchenverband Bitkom setzen bereits zwei Drittel aller Unternehmen auf Rechenleistungen aus der Cloud. Die Hälfte von ihnen nutzt dabei Private Cloud-Anwendungen, fast ein Drittel Public Cloud-Lösungen, Tendenz steigend. Die DDI-Experten von EfficientIP warnen nun vor einem zu sorglosen Umgang mit der Public Cloud. Die folgenden Ausführungen zeigen, welche Gefahren in der Public Cloud lauern, und wie Firmen sich und ihre Daten absichern können.

Zu den wichtigsten Vorteilen der Public Cloud gehört zweifelsohne, dass die Infrastruktur sowie das Hosting der Anwendungskomponenten umfassend verwaltet werden. Egal, ob Netzwerk, Internetzugang, Speicher oder Server: Alles ist über eine einfache Schnittstelle und API konfigurierbar. Das DNS ist ein zentraler Bestandteil dieser Infrastruktur, die vollständig vom Cloud-Anbieter übernommen wird und den Zugriff auf alle Cloud-Services und Internet-Ressourcen ermöglicht.

Das Problem: Private Netzwerke ohne Zugang zum Internet sind immer noch in der Lage, mit ihm über das DNS zu kommunizieren. DNS-Tunneling, DNS-Dateisysteme und Datenexfiltration sind in diesem Zusammenhang bei den meisten Public Cloud-Anbietern standardmäßig und bewusst möglich, da sie helfen, auf serverlose Cloud-Dienste zuzugreifen und so die digitale Transformation zu erleichtern. Hierdurch entstehen aber auch zahlreiche Möglichkeiten für Datenlecks, darunter:

• Böswilliger Zugriff auf das Anwendungs-Backend über Standardmethoden: Der Code wird in das Backend eingefügt und via DNS werden Daten gestohlen.
• Personen innerhalb des Unternehmens, die Zugriff auf einen Host haben, können eine Anwendung ändern, installieren oder entwickeln, die das DNS nutzt, um bösartige Operationen durchzuführen, darunter beispielsweise Malware.
• Über eine automatische Code-Bereitstellungsstrategie könnte ein Entwickler einen spezifischen Code einfügen, der keine Änderungen in der Infrastruktur erfordert, und DNS verwenden, um Produktionsdaten oder Kontoinformationen zu extrahieren.
• Das Einfügen von einem gefährlichen Code in eine oft genutzte Bibliothek wirkt sich potenziell auf alle Nutzer dieser Bibliothek aus.

Die Gegenmaßnahme: Unternehmen, die Geschäftsinformationen in privaten Netzwerken, die in der Public Cloud gehostet werden, auch nur vorübergehend speichern, müssen einen privaten DNS-Dienst nutzen, mit dem sie filtern und festlegen können, was zugänglich sein soll und was nicht. Damit dies gelingt, benötigen Unternehmen spezielle Cloud-Patterns, die für die meisten System- und Netzwerkarchitekten jedoch noch Neuland sind. Ein guter Ansatz ist eine „unveränderliche Infrastruktur“ mit vordefinierten Bildern, privaten Netzwerken und kontrollierter Kommunikation im In- und Outbound. Darüber hinaus sollten regelmäßige Testphasen durchgeführt werden, da sich die Optionen von Cloud-Anbietern ändern können, ohne in das Standard-Change-Management von Unternehmen integriert zu sein.

Multi-Cloud-Ansätze sind noch komplexer, da jeder Cloud-Provider Features unterschiedlich implementiert. Das DNS kann pro Subnetz, pro virtuellem privatem Cloud-Netzwerk oder pro Host deaktiviert sein oder auch nicht. Einige schlagen einen erweiterten DNS-Dienst vor, um private Zonen zu hosten, andere erlauben die Verbindung zu unternehmensinternen DNS. Die Schwierigkeit besteht darin, dass DNS auf alle zugrundeliegenden Dienste angewendet und direkt vom Dienstanbieter verwaltet werden könnten. Unternehmen sollten daher genau beachten, wie Workloads gesichert werden, die sie in die Public Cloud und generell zu IaaS- und PaaS-Anbietern abgeben.

David Williamson, CEO von EfficientIP, kommentiert: „Um wirklich effizient zu sein, sollten private Netzwerke in der Cloud mit einem privatem DNS-Service betrieben werden.“ Eine private DNS-Lösung sei erforderlich und verstärke jede Lösung, die von Workloads in IaaS- und Cloud-Diensten durchgeführt werde. Hinzukommen Sicherheitsfunktionen, die auf dem Traffic-Verhalten basieren. Williamson weiter: „Die Konfiguration eines derartigen On-Demand-DNS-Dienstes in der Public Cloud wird durch eine flexible DDI-Lösung erleichtert, die in den Cloud Orchestrator integriert ist.“ DDI verschiebt automatisch die entsprechenden Einträge in der Konfiguration, sobald der Dienst aktiviert ist. Dies führt zu Zeiteinsparungen und der Durchsetzung von Richtlinien, um die Nutzung öffentlicher Clouds verlässlich abzusichern.

Weitere Informationen unter:
http://www.efficientip.com