Bild: Maksym Yemelyanov/Adobe Stock Präsident Joe Bidens Verwaltung, als Teil seiner kürzlich veröffentlichten Nationale Cybersicherheitsstrategie , sagte kritische Sektoren wie Telekommunikation, Energie und Gesundheitswesen verlassen sich auf die Cybersicherheit und Widerstandsfähigkeit von Cloud-Dienstleistern.

Doch, aktuelle Berichte schlägt die Verwaltung Bedenken vor, dass große Cloud-Dienstleister eine massive Bedrohungsfläche darstellen, durch die ein Angreifer die öffentliche und private Infrastruktur und Dienstleistungen stören könnte.

Diese Sorge ist angesichts der monolithischen Natur des Sektors schwer zu argumentieren. Die Forschungsfirma Gartner hat in ihrem jüngsten Blick auf den weltweiten Cloud-Infrastruktur-as-a-Service-Marktanteil Amazon auf den Markt gebracht, der 2021 einen Umsatz von 35,4 Milliarden US-Dollar erzielte, wobei der Rest des Marktanteils wie folgt aufgeschlüsselt wurde:

• Amazon: 38,9%

• Microsoft: 21.1%

• Alibaba: 9.5%

• Google 7.1%

• Huawei: 4.6% Die Synergy Gruppe berichtet, dass zusammen, Amazon, Microsoft und Google zwei Drittel der Cloud-Infrastruktur-Umsätze in drei Monaten Ende September 30, 2022, mit den acht größten Anbietern, die mehr als 80% des Marktes kontrollieren, übersetzend auf drei Viertel der Web-Umsätze.

  Zu:

• Einen Fokus auf Cloud-Dienstleister?

• Cloud-Anbieter bieten bereits genug

• Cloud-Kunden müssen Sicherheit implementieren

• Es ist auf Kunden, gegen große Cloud-basierte Bedrohungen zu verteidigen

• Wichtige Bedrohungen für Ihre Cloud-Operationen

• Ethische Hacking kann Operationen in der Cloud und On-Premises sichern Einen Fokus auf Cloud-Dienstleister?

Der Bericht der Verwaltung stellte fest, dass Bedrohung verwenden Sie die Cloud-, Domain-Registrars, Hosting- und E-Mail-Anbieter sowie andere Dienste, um Exploits zu leiten, Operationen zu koordinieren und zu spy. Darüber hinaus befürwortete sie für Verordnungen, um die Annahme von Grundsätzen für die sichere Gestaltung zu fördern, und diese Vorschriften werden „mindestens erwartete Cybersicherheitspraktiken oder -ergebnisse“ definieren. „

Auch wird es „die Lücken in den Behörden identifizieren, um bessere Cybersicherheitspraktiken in der Cloud-Computing-Industrie und für andere wesentliche Drittanbieter-Dienste zu fördern und mit Industrie, Kongress und Regulierungsbehörden zu arbeiten, um sie zu schließen“, so der Verwaltungsbericht.

Wenn die Verwaltung mit CSPs spricht, die den Verkehr durch riesige Sümpfe des globalen Internet mit einem Blick auf die Regulierung ihrer Sicherheitspraktiken kontrollieren, kann es unwahrscheinlich sein, da CSPs bereits starke Sicherheitsprotokolle haben, bemerkt Chris Winckless, Senior Director Analyst bei Gartner.

„Cloud-Anbieter scheinen aus allen Beweisen sehr sicher zu sein, was sie tun, aber das Fehlen von Transparenz darüber, wie sie dies tun, ist eine Sorge“, sagte Winckless.

Siehe: Cloud-Sicherheit, durch die Verbreitung von Werkzeugen behindert, hat ein “Forest für Bäume” Problem (TechRepublik)

Winckless sagte aber auch, dass es Grenzen für Widerstand gibt, und der Buck landet schließlich auf dem Schreibtisch des Kunden.

„Die Verwendung der Cloud ist nicht sicher, entweder von einzelnen Mietern, die nicht gut konfigurieren oder nicht für Resilienz entwerfen, oder von kriminellen/nation-staatlichen Akteuren, die die Dynamik nutzen und für Flexibilitätsmodell bezahlen können“, fügte er hinzu.

Cloud-Anbieter bieten bereits genug

Chris Doman, Chief Technology Officer von Cloud-Cado Security, sagte, die großen Cloud-Dienstleister seien bereits die Besten bei der Verwaltung und Sicherung von Cloud-Infrastruktur.

Sicherheitsüberprüfung

• Top Cybersicherheit Bedrohungen für 2023

• Beste IT Asset Management Software

• Treffen Sie das umfassendste tragbare Cybersicherheitsgerät

• Wie Sie Ihre E-Mail über Verschlüsselung, Passwortmanagement und mehr sichern (TechRepublic Premium)

  „Um ihre Fähigkeiten in Frage zu stellen und zu verbieten, dass die US-Regierung „je besser“ in Bezug auf Regulierung und Sicherheitsführung irreführend wäre“, sagte Doman.

Die Einführung von „Wissen-your-Kunden“-Anforderungen an Cloud-Anbieter kann durchaus beabsichtigt sein, aber es riskiert Angreifer, Dienstleistungen zu nutzen, die weiter von der Reichweite der Strafverfolgung entfernt sind, sagte er.

Die größte Bedrohung für die Cloud-Infrastruktur ist die physische Katastrophe, nicht Technologieversagen, sagte Doman.

„Die Finanzdienstleistungsbranche ist ein großes Beispiel dafür, wie ein Sektor die Aktivität mehrerer Cloud-Anbieter diversifiziert, um Fehlerpunkte zu vermeiden“, sagte Doman. „Kritische Infrastruktureinrichtungen, die die Cloud modernisieren, müssen über Katastrophenrückgewinnungspläne nachdenken. Die meisten kritischen Infrastruktureinrichtungen sind nicht in der Lage, vollständig multiCloud zu gehen, Begrenzungspunkte der Exposition. „

Cloud-Kunden müssen Sicherheit implementieren

Während die Biden-Administration sagte, dass es mit Cloud- und Internet-Infrastruktur-Anbietern zusammenarbeiten würde, “mälde Nutzung der US-Infrastruktur zu identifizieren, Berichte über böswillige Nutzung mit der Regierung zu teilen” und “make es einfacher für die Opfer, Missbrauch dieser Systeme zu melden und … schwieriger für böswillige Akteure, Zugang zu diesen Ressourcen an erster Stelle zu gewinnen“, könnte dies Herausforderungen stellen.

Mike Beckley, Gründer und Chief Technology Officer der Prozessautomatisierungsfirma Appian, sagte, dass die Regierung zu Recht den Alarm über die Verwundbarkeit von Regierungssystemen klingt.

“Aber es hat ein größeres Problem, und das ist, dass die meisten seiner Software ist nicht von uns oder Microsoft oder Salesforce oder Palantir, für diese Angelegenheit,” sagte Beckley. „Es wird von einem kostengünstigen Bieter in benutzerdefinierten Verträgen geschrieben und schleicht daher nach den meisten Regeln und Einschränkungen, die wir als kommerzielle Anbieter betreiben.

„Was auch immer die Regierung denkt, dass sie jeden Tag kauft, basierend auf mindestens Erfahrung oder mindestens qualifiziert, oder sogar der schädlichste Vertragspartner, der die Rechte und Berechtigungen hat, neue Bibliotheken und Codes hochzuladen. Jede einzelne dieser Custom-Code-Pipelines muss für jedes Projekt aufgebaut werden und ist daher nur so gut wie das Team, das es tut. „

Es ist auf Kunden, gegen große Cloud-basierte Bedrohungen zu verteidigen

Malefactors zu suchen ist eine große Nachfrage nach CSPs wie Amazon, Google und Microsoft, sagte Mike Britton, Chief Information Security Officer bei Abnormal Security.

„In jedem Fall ist die Cloud nur ein weiteres Phantasiewort für externe Server, und der digitale Raum ist jetzt eine Ware – ich kann Petabytes für Pennies auf dem Dollar speichern“, sagte Britton. „Wir leben jetzt in einer Welt, in der alles API- und Internet-basiert ist, so gibt es keine Barrieren wie in den alten Tagen.

SEE: Top 10 Open-Source-Sicherheit und operative Risiken (TechRepublik)

„Es gibt eine gemeinsame Verantwortungsmatrix, in der der Cloud-Anbieter Probleme wie Hardware-Betriebssystem-Patches behandelt, aber es ist die Verantwortung des Kunden, zu wissen, was öffentliches Ansehen und Ein- oder Ausschalten ist. Ich denke, es wäre gut, wenn es das Äquivalent eines ‚Nein’ Failsafe fragen etwas wie ‚Denn Sie bedeuten, das zu tun?‘, wenn es um Handlungen wie die Bereitstellung von Speicherschaufeln öffentlich.

„Mit den 50 Terabyten in einem S3-Speicher-Bucket und versehentlich öffentlich zugänglich zu machen, ist potenziell schießen Sie sich in den Fuß. So sind Cloud-Sicherheitshaltungsmanagement-Lösungen nützlich. Und Verbraucher von Cloud-Services müssen gute Prozesse in Ordnung haben. „

Wichtige Bedrohungen für Ihre Cloud-Operationen

Check Point Security 2022 Cloud Security berichtet über führende Bedrohungen für die Cloud-Sicherheit.

Fehlkonfigurationen

Eine führende Ursache für Cloud-Datenverletzungen, Organisationen“ Cloud-Sicherheitshaltungsmanagement Strategien sind unzureichend, um ihre Cloud-basierte Infrastruktur vor Fehlkonfigurationen zu schützen.

Unbefugter Zugriff

Cloud-basierte Bereitstellungen außerhalb des Netzwerkumfangs und direkt aus dem öffentlichen Internet zugänglich machen unberechtigten Zugriff.

Unsichere Schnittstellen und APIs

CSPs bieten häufig eine Reihe von Anwendungs-Programmierschnittstellen und Schnittstellen für ihre Kunden, nach Check Point, aber die Sicherheit hängt davon ab, ob ein Kunde die Schnittstellen für ihre Cloud-basierten Infrastrukturen gesichert hat.

Verbriefte Konten

Keine Überraschung, Passwort-Sicherheit ist eine schwache Verbindung und enthält oft schlechte Praktiken wie Passwort wiederverwenden und die Verwendung von schlechten Passwörtern. Dieses Problem verschärft die Auswirkungen von Phishing-Angriffen und Datenverletzungen, da es ein einziges gestohlenes Passwort auf mehrere verschiedene Konten verwendet werden kann.

Mangel an Sichtbarkeit

Die Cloud-Ressourcen einer Organisation liegen außerhalb des Unternehmensnetzwerks und laufen auf Infrastruktur, die das Unternehmen nicht besitzt.

„Infolgedessen sind viele traditionelle Werkzeuge zur Erzielung der Netzwerksichtbarkeit für Cloud-Umgebungen nicht wirksam“, so Check Point. “Und einige Organisationen fehlen Cloud-fokussierte Sicherheitstools . Dies kann die Fähigkeit einer Organisation begrenzen, ihre Cloud-basierten Ressourcen zu überwachen und sie vor Angriffen zu schützen. „

Externer Datenaustausch

Die Cloud erleichtert den Datenaustausch, sei es durch eine E-Mail-Einladung an einen Mitarbeiter oder über einen gemeinsamen Link. Diese einfache Datenfreigabe stellt ein Sicherheitsrisiko dar.

Malicious Insider

Obwohl paradox, da Insider innerhalb des Umkreises sind, kann jemand mit schlechtem Absicht berechtigten Zugriff auf das Netzwerk einer Organisation und einige der sensiblen Ressourcen, die sie enthält.

„In der Cloud ist die Erkennung eines schädlichen Insiders noch schwieriger“, sagte CheckPoints Bericht. „Mit Cloud-Bereitstellungen haben Unternehmen keine Kontrolle über ihre zugrunde liegende Infrastruktur, wodurch viele traditionelle Sicherheitslösungen weniger effektiv sind. „

Cyberattacks als großes Geschäft

Cybercrime-Ziele basieren meist auf der Rentabilität. Cloud-basierte Infrastruktur, die der Öffentlichkeit aus dem Internet zugänglich ist, kann unangemessen gesichert werden und sensible und wertvolle Daten enthalten.

Sicherheitsangriffe

Die Cloud ist für viele Organisationen unerlässlich, um Geschäfte zu machen. Sie nutzen die Cloud, um geschäftskritische Daten zu speichern und wichtige interne und kundenorientierte Anwendungen durchzuführen.

Ethische Hacking kann Operationen in der Cloud und On-Premises sichern

Es ist wichtig für Organisationen, ihre eigenen Perimeter zu sichern und eine regelmäßige Kadenz von Tests auf Schwachstellen intern und extern durchzuführen.

Wenn Sie Ihre ethischen Hacking-Fähigkeiten für Web-Penn-Tests und vieles mehr, überprüfen Sie diese umfassende TechRepublic Academy ethisches Hacking Kursbündel .

Weiter lesen: Wie man Sicherheitsrisiken minimiert: Folgen Sie diesen Best Practices für Erfolg (TechRepublik)

 ###  Cybersecurity Insider Newsletter

Stärken Sie die IT-Sicherheitsabwehr Ihrer Organisation, indem Sie die neuesten Cyber-Sicherheitsnachrichten, Lösungen und Best Practices beibehalten.

Geliefert Dienstags und Donnerstags Heute anmelden